Bir güvenlik denetimi, bir şirket hesabındaki binlerce EC2 instance'ına bağlı, şifrelenmemiş birkaç Amazon EBS birimi buldu. Şirket politikası EBS birimi şifrelemesini zorunlu kılıyor. Şirketin, mevcut şifrelenmemiş birimleri şifrelemek ve geliştirme ekiplerinin şifrelenmemiş birimler oluşturmasını engellemek için otomatik bir iyileştirmeye ihtiyacı var. Hangi çözüm bu gereksinimleri karşılar?

Doğru yanıt, mevcut şifrelenmemiş birimleri düzeltmek ve gelecekteki şifrelenmemiş birimlerin oluşturulmasını önlemek için en kapsamlı ve otomatik çözümü sunar. AWS Config yönetilen kuralı, mevcut şifrelenmemiş EBS birimlerini tespit eder. Bir Systems Manager Automation runbook'u ile otomatik iyileştirme eylemi, bu birimleri şifreli kopyalarıyla değiştirerek düzeltir. Son olarak, EBS şifrelemesi için AWS hesap ayarının değiştirilmesi, gelecekteki tüm yeni EBS birimlerinin otomatik olarak şifrelenmesini sağlayarak geliştirme ekiplerinin şifrelenmemiş birimler oluşturmasını engeller. Diğer seçenekler eksiktir: Birinci yanlış seçenek, KMS anahtar politikası ile şifrelenmemiş birim oluşturmayı reddetmeyi önerir, ancak bu doğrudan EBS birimi oluşturma API çağrılarını etkilemez ve hesap ayarı kadar etkili değildir. İkinci ve üçüncü yanlış seçenekler, mevcut şifrelenmemiş birimleri listelemek için Systems Manager Fleet Manager'ı kullanmayı önerir, ancak AWS Config bu tür uyumluluk denetimleri için tasarlanmış daha uygun bir hizmettir ve otomatik iyileştirme için Config ile entegrasyonu daha güçlüdür. Ayrıca, SCP'ler (ikinci yanlış seçenek) hesap ayarı kadar granüler kontrol sağlamaz ve doğrudan EBS şifrelemesini zorunlu kılmak için tasarlanmamıştır.