Bir kuruluş, birden çok hesabı yönetmek için AWS Organizations kullanıyor. Güvenlik politikası, şifrelenmemiş tüm Amazon EBS birimlerini uyumsuz olarak işaretlemeyi gerektiriyor. Bir DevOps mühendisinin otomatik, her zaman mevcut bir uyumluluk denetimi dağıtması gerekiyor. Bunu hangi yaklaşım başarır?

Doğru cevap, AWS Config kuruluş kuralı oluşturmak ve bunu AWS CLI kullanarak dağıtmaktır. Bu, tüm kuruluş hesaplarında EBS şifrelemesini otomatik ve sürekli olarak denetleyerek uyumluluk gereksinimini karşılar. AWS Config, kaynak yapılandırmalarını izlemek ve uyumluluğu değerlendirmek için tasarlanmıştır. AWS Config'in durdurulmasını veya silinmesini yasaklayan bir Hizmet Kontrol Politikası (SCP) uygulamak, kuralın her zaman etkin kalmasını ve denetimin sürekliliğini sağlar. Diğer seçenekler neden yanlış: AWS Inspector, güvenlik açıkları ve istenmeyen yapılandırmalar için EC2 örneklerini tarar, ancak EBS şifrelemesi gibi yapılandırma uyumluluğunu sürekli olarak denetlemek için birincil araç değildir. CloudFormation şablonu, yeni hesaplar için şifrelemeyi zorunlu kılsa da mevcut kaynakları denetlemez. SCP oluşturmak, şifrelenmemiş EBS birimleriyle EC2 örneklerinin başlatılmasını önleyebilir ancak mevcut şifrelenmemiş EBS birimlerini denetlemez veya uyumsuz olarak işaretlemez. Ayrıca, CloudTrail günlüklerini Athena ile analiz etmek, sürekli bir otomatik uyumluluk denetimi sağlamaz. IAM rolü ve CodePipeline ile Lambda kullanarak rapor oluşturmak, uyumluluk denetimi için manuel veya periyodik bir yaklaşımdır, otomatik ve her zaman mevcut bir denetim sağlamaz.