某公司使用 AWS Organizations，並希望透過 AWS CloudFormation StackSets 在不同環境中部署標準設計模式（EC2、ELB、Amazon RDS，以及 Amazon EKS 或 Amazon ECS）。開發人員目前透過共享服務帳戶中的集中式 CI/CD 管道建立自己的 CloudFormation 堆疊。安全團隊已定義組態要求，並且必須在不影響開發人員交付速度的情況下，收到任何不合規資源的通知。最符合營運效率的解決方案是什麼？

正確答案是建立 Amazon SNS topic 並訂閱安全團隊的電子郵件地址，定義自訂的 CloudFormation Guard 規則，然後在 CI/CD 管道的建置階段之前，在 Docker 映像中執行 cfn-guard 命令。如果偵測到任何違規，則發佈到 SNS topic。這個方案最具營運效率，因為它在部署前主動檢查 CloudFormation 範本是否符合安全規範，並在發現問題時即時通知安全團隊，而不會阻礙開發流程。CloudFormation Guard 允許定義細粒度的策略即程式碼 (Policy as Code)，確保資源配置符合組織的安全標準。 選項一的 aws cloudformation validate-template 命令只檢查語法有效性，無法檢查安全組態合規性。選項三涉及 S3 事件通知、SQS 佇列和 Auto Scaling Group，增加了不必要的複雜性，且在部署前進行檢查，會降低開發速度。選項四要求安全團隊手動審查每個新範本，這會成為開發速度的瓶頸，且不具備自動化檢查的能力。