開發人員只能從一組核准的 AMI 啟動 EC2 執行個體，但有些人仍然從未經核准的映像檔啟動執行個體。維運團隊需要一種自動化方法來偵測並終止任何從未經核准清單中的 AMI 啟動的 EC2 執行個體。哪種方法能滿足此要求？

正確答案是建立一個 AWS Config 受管規則，驗證執行中的執行個體是否從核准清單中的 AMI 啟動，並設定自動修復以執行 AWS Systems Manager Automation runbook 來終止不合規的執行個體。AWS Config 能夠持續監控資源配置，並針對不符合預期配置的資源觸發自動修復動作。透過受管規則和 Systems Manager Automation runbook 的結合，可以自動偵測並終止從未經核准 AMI 啟動的 EC2 執行個體，實現自動化合規。 將核准的 AMI ID 儲存在 DynamoDB 全域資料表並使用區域性 EC2 啟動範本來比較 AMI，這種方法無法自動終止已啟動的不合規執行個體。使用 CloudWatch 指標和警報來終止執行個體，CloudWatch 警報通常用於監控數值指標，直接終止執行個體需要更複雜的自訂邏輯。撰寫自訂 Amazon Inspector 發現項目並透過 SQS 佇列觸發 Lambda 函數，雖然可行，但 AWS Config 受管規則提供了更直接且整合的解決方案，特別是對於配置合規性檢查和自動修復。