Разработчики должны запускать инстансы EC2 только из утвержденного набора AMI, но некоторые все еще запускают инстансы из неутвержденных образов. Команде эксплуатации нужен автоматизированный способ обнаружения и завершения любого инстанса EC2, запущенного из AMI, которого нет в утвержденном списке. Какой подход удовлетворяет этому требованию?

Правило AWS Config с автоматическим исправлением — это наиболее эффективное решение. AWS Config постоянно отслеживает ресурсы и может оценивать их соответствие заданным правилам. Управляемое правило ec2-instances-launched-from-approved-amis (или пользовательское правило) может проверять, соответствует ли AMI запущенного инстанса утвержденному списку. При обнаружении несоответствия AWS Config может автоматически запустить runbook AWS Systems Manager Automation, который завершит инстанс. Хранение AMI ID в DynamoDB и использование региональных шаблонов запуска не обеспечит автоматического завершения уже запущенных инстансов. Метрики CloudWatch не предоставляют достаточно детализированной информации об AMI для автоматического завершения. Amazon Inspector фокусируется на уязвимостях и не предназначен для проверки соответствия AMI утвержденному списку с автоматическим завершением.