Belirli bir OU içindeki tüm hesaplarda CloudFormation yığınları tarafından oluşturulan veya güncellenen tüm EBS birimleri ve SQS kuyrukları için sunucu tarafı şifrelemesini zorunlu kılmanız gerekir ve bu zorunluluk CloudFormation yığın işlemleri öncesinde gerçekleşmelidir. Bu durumu OU genelinde hangi çözüm zorunlu kılar?

Doğru cevap, CloudFormation StackSets için güvenilir erişimi etkinleştirmek, sunucu tarafı şifrelemesini zorunlu kılan bir CloudFormation Hook oluşturmak ve Hook'u StackSets ile OU hesaplarına dağıtmaktır. CloudFormation Hooks, yığın işlemleri öncesinde kaynak oluşturma veya güncelleme sırasında belirli koşulları zorunlu kılmak için tasarlanmıştır. StackSets ile birleştirildiğinde, bu çözüm tüm OU'daki hesaplara merkezi olarak dağıtılabilir ve CloudFormation yığınları tarafından oluşturulan veya güncellenen tüm EBS birimleri ve SQS kuyrukları için şifreleme gereksinimini etkili bir şekilde uygular. Diğer seçenekler neden yanlış: AWS Config, kaynaklar oluşturulduktan sonra uyumluluğu denetler, ancak oluşturulmadan önce zorunluluk getirmez. SCP'ler (Hizmet Kontrol Politikaları) belirli API eylemlerini kısıtlayabilir ancak bir kaynağın belirli bir özelliğe sahip olmasını (örneğin, şifreleme) zorunlu kılamaz. Lambda fonksiyonu, kaynakların oluşturulduktan sonra şifrelenip şifrelenmediğini kontrol edebilir ancak oluşturulmadan önce zorunluluk getiremez ve bu çözüm, CloudFormation Hooks'a göre daha karmaşık ve daha az entegredir.