Bir DevOps mühendisi, AWS Control Tower yönetim hesabını ve CloudFormation StackSets'i kullanarak, Amazon GuardDuty'yi henüz etkinleştirmemiş hesaplar için etkinleştirmelidir. StackSets dağıtım hatalarını önlemek için CloudFormation şablonu nasıl tasarlanmalıdır?

Doğru cevap, bir Lambda işlevini çağıran bir CloudFormation özel kaynağı eklemektir. Bu Lambda işlevi, GuardDuty'nin belirli bir hesapta zaten etkin olup olmadığını programlı olarak kontrol edebilir. Eğer etkin değilse, Lambda GuardDuty'yi etkinleştirebilir. Bu yaklaşım, StackSets'in zaten etkin olan hesaplarda GuardDuty'yi yeniden etkinleştirmeye çalışmasından kaynaklanan dağıtım hatalarını önler. Diğer seçenekler neden yanlış: CloudFormation şablonunun Conditions bölümü, GuardDuty'nin etkin olup olmadığını doğrudan kontrol etmek için yeterli esnekliğe sahip değildir. Conditions genellikle parametre değerlerine veya AWS bölgelerine göre koşullu mantık uygulamak için kullanılır, mevcut bir hizmetin durumunu dinamik olarak sorgulamaz. Fn::GetAtt iç işlevi, yalnızca bir kaynak oluşturulduktan sonra o kaynağın niteliklerini almak için kullanılır. GuardDuty'nin etkin olup olmadığını önceden tespit etmek için kullanılamaz. Hesap kimliklerinin manuel olarak toplanması ve Fn::ImportValue kullanılması ölçeklenebilir değildir ve sürekli değişen bir ortamda güncel kalması zordur. Ayrıca, bu yöntem StackSet'in zaten etkin olan hesaplarda GuardDuty'yi atlamasını sağlamaz; yalnızca belirli hesaplara dağıtım yapılmasını engeller.