В одном аккаунте AWS в одном регионе работают сотни инстансов EC2, которые часто запускаются и завершаются. Политика безопасности требует, чтобы каждый запущенный инстанс EC2 имел профиль инстанса; если он не прикреплен, должен быть применен профиль по умолчанию без разрешений IAM. Инженер обнаружил существующие инстансы без профиля инстанса и текущие запуски, в которых также отсутствует профиль. Что обеспечит прикрепление профиля инстанса ко всем текущим и будущим инстансам EC2 в регионе?

Правильный ответ — включить управляемое правило AWS Config ec2-instance-profile-attached и настроить автоматическое исправление с помощью runbook Systems Manager Automation. Это правило AWS Config специально разработано для проверки наличия профиля экземпляра у инстансов EC2. При обнаружении несоответствия (отсутствия профиля) автоматическое исправление с помощью runbook Systems Manager может быть настроено для прикрепления профиля по умолчанию. Это решение является реактивным и проактивным, обеспечивая соответствие как существующим, так и вновь запускаемым инстансам. Другие варианты менее эффективны: Использование EventBridge для RunInstances или StartInstances не покроет уже запущенные инстансы без профиля. StartInstances также не относится к первоначальному запуску. Правило iam-role-managed-policy-check проверяет политики IAM, а не наличие профиля инстанса у EC2.