В ходе аудита безопасности было обнаружено несколько незашифрованных томов Amazon EBS, подключенных к тысячам инстансов EC2 в аккаунте компании. Политика компании предписывает шифрование томов EBS. Компании требуется автоматизированное решение для шифрования существующих незашифрованных томов и для предотвращения создания незашифрованных томов командами разработчиков. Какое решение соответствует этим требованиям?

Правильный ответ решает обе задачи: обнаружение и исправление существующих незашифрованных томов, а также предотвращение создания новых. Управляемое правило AWS Config encrypted-volumes обнаруживает незашифрованные тома EBS. Автоматическое действие по исправлению с помощью AWS Systems Manager Automation runbook позволяет создать зашифрованную копию тома, а затем заменить ею исходный незашифрованный том. Изменение настройки аккаунта AWS для шифрования EBS гарантирует, что все новые тома EBS, созданные в аккаунте, будут по умолчанию зашифрованы, предотвращая будущие нарушения политики. Первый неверный вариант предлагает использовать ключ AWS KMS customer managed key для запрета создания незашифрованных томов, что не является функцией политики ключа KMS. Второй и третий варианты используют AWS Systems Manager Fleet Manager, который предназначен для управления инстансами, а не для обнаружения незашифрованных томов EBS. Кроме того, SCP (Service Control Policy) в третьем варианте может запретить создание незашифрованных томов, но не является наиболее эффективным решением для этого конкретного случая по сравнению с настройкой аккаунта.