某組織希望在 AWS Organizations 中的所有帳戶中，建立一個集中式的自動化方法，以偵測允許來自 0.0.0.0/0 的入站流量的 security group，並透過將該開放的來源替換為公司核准的內部網路 CIDR 來自動修復違規。SysOps 管理員應實施哪些措施來實現此目標？

正確答案是部署 AWS Config 規則並設定自動修復。AWS Config 能夠持續監控 AWS 資源的組態變更，並根據預定義的規則評估其合規性。透過建立一個規則來偵測入站流量源為 0.0.0.0/0 的安全群組，並設定自動修復動作，可以自動將違規的來源替換為公司核准的內部網路 CIDR，實現集中式和自動化的合規管理。 建立 IAM policy 拒絕建立安全群組無法修復現有違規，且無法自動替換來源。建立 Lambda 函數可以實現偵測和修復，但 AWS Config 提供了更整合、更易於管理的合規性框架，特別是對於多帳戶環境。服務控制策略 (SCP) 可以阻止建立不合規的安全群組，但無法直接執行自動修復動作來修改現有或新建立的違規規則。