一個 CloudFormation 模板部署了 VPC 和 EC2 security group。一位經理發現有些工程師為了測試，更改了幾個 EC2 instance 上的 security group 設定。開發人員必須確定做了哪些更改。哪種方法可以識別這些修改？

CloudFormation drift detection (漂移偵測) 可以識別堆疊中資源的實際組態與其 CloudFormation 模板中定義的預期組態之間的差異。這正是管理員要找出工程師手動修改 security group 設定的需求。 新增 Conditions 區塊是用於條件式資源建立，無法識別現有資源的變更。執行 CloudFormation change set 則是用於預覽將對堆疊進行的變更，而不是偵測已發生的變更。Amazon Detective 是一個安全服務，用於分析日誌資料以識別潛在的安全威脅，而非用於偵測 CloudFormation 資源的組態漂移。