Geliştiriciler yalnızca onaylanmış bir AMI kümesinden EC2 örnekleri başlatmalıdır, ancak bazıları hala onaylanmamış görüntülerden örnekler başlatmaktadır. Operasyon ekibinin, onaylanan listede olmayan bir AMI'den başlatılan tüm EC2 örneklerini tespit etmek ve sonlandırmak için otomatik bir yola ihtiyacı var. Bu gereksinimi hangi yaklaşım karşılar?

Bu yaklaşım, AWS Config'in sürekli uyumluluk izleme yeteneklerini AWS Systems Manager'ın otomasyon gücüyle birleştirir. AWS Config yönetilen kuralı, EC2 örneklerinin onaylanmış AMI listesinden başlatılıp başlatılmadığını otomatik olarak denetler. Uyumsuz bir örnek tespit edildiğinde, AWS Config'in otomatik düzeltme özelliği, bu örnekleri sonlandırmak için AWS Systems Manager Automation runbook'unu tetikler. Bu, manuel müdahaleye gerek kalmadan politikayı otomatik olarak uygular. Diğer seçenekler neden doğru değil: DynamoDB ve EC2 başlatma şablonları: Bu, yalnızca yeni başlatmaları kısıtlar, mevcut uyumsuz örnekleri ele almaz ve karmaşık bir yönetim yükü getirir. CloudWatch metriği ve alarmı: CloudWatch, doğrudan bir AMI'nin onaylı olup olmadığını denetleyen yerleşik bir metrik sağlamaz. Özel bir metrik oluşturmak karmaşıktır ve Config'in denetim yeteneklerini sunmaz. Amazon Inspector ve Lambda: Inspector, güvenlik açıkları için tasarlanmıştır, AMI uyumluluğu için değil. Özel bir bulgu yazmak mümkündür ancak Config'in yerleşik uyumluluk denetimi ve otomatik düzeltme özelliklerine kıyasla daha karmaşık ve daha az verimlidir.