4.2 - Conformité et gouvernance (Config, Organizations, SCP)
L'objectif 4.2 de l'AWS SysOps Administrator couvre la conformité et la gouvernance multi-comptes. AWS Organizations regroupe les comptes en unités d'organisation, et les Service Control Policies plafonnent les permissions maximales des comptes membres - elles restreignent, n'accordent jamais, et n'affectent pas le compte de gestion. Les règles AWS Config évaluent les ressources, les conformance packs regroupent règles et remédiation, et un aggregator donne une vue de conformité unique sur les comptes et régions. Un trail CloudTrail d'organisation centralisé et un aggregator Config soutiennent l'audit. AWS Control Tower met en place une landing zone avec des guardrails et Account Factory pour la distribution gouvernée de comptes. Les cost allocation tags et les tag policies gardent l'étiquetage cohérent, et la facturation consolidée partage les remises de volume et la couverture Reserved Instances ou Savings Plans. Attends-toi à des mises en situation sur le bon service de gouvernance.
Plafonner les permissions entre comptes (jamais accorder) = Service Control Policy, et elle n'affecte jamais le compte de gestion. Vue de conformité unique = aggregator AWS Config. Landing zone gouvernée = Control Tower.
Questions d'entraînement
1. Des instances exécutant le CloudWatch agent échouent à publier des métriques personnalisées avec une erreur AccessDenied. Quelle permission IAM manque probablement au rôle de l'instance ?
- cloudwatch:PutMetricData (bonne réponse)
- cloudwatch:DescribeAlarmsForMetric sur la ressource namespace ciblée
- logs:CreateLogGroup pour la destination du flux de métriques
- ec2:MonitorInstances sur les instances concernées
Publier des métriques exige cloudwatch:PutMetricData sur le rôle de l'instance ; sans elle l'agent reçoit AccessDenied. DescribeAlarmsForMetric est en lecture seule, et ec2:MonitorInstances bascule detailed monitoring, pas la publication.
2. Quelles deux actions IAM le rôle de l'agent CloudWatch doit-il autoriser pour livrer les logs EC2 ? (Choisissez DEUX.)
- logs:PutLogEvents pour écrire les événements dans le stream (bonne réponse)
- logs:DeleteLogGroup pour que l'agent tourne les anciens groups lui-même
- kms:ScheduleKeyDeletion pour gérer le cycle de vie de la clé
- logs:CreateLogStream pour ouvrir le stream avant d'écrire (bonne réponse)
L'agent a besoin de logs:CreateLogStream pour ouvrir un stream et logs:PutLogEvents pour y écrire (plus éventuellement CreateLogGroup). DeleteLogGroup et ScheduleKeyDeletion sont destructifs et n'ont rien à faire dans un rôle d'expédition de logs.
3. Des auditeurs alertent qu'un dashboard partagé publiquement pourrait exposer des métriques sensibles. Quelle est la correction la plus sûre ?
- Le laisser entièrement public mais se contenter de renommer les widgets
- Exiger une authentification ou un mot de passe sur le partage (bonne réponse)
- Supprimer toutes les alarmes affichées par le dashboard
- Déplacer le dashboard dans une toute nouvelle Région AWS
Le partage de dashboard permet d'exiger une authentification (via IAM Identity Center) ou un mot de passe, restreignant qui voit les métriques. Renommer les widgets expose toujours les données, supprimer les alarmes supprime la supervision, et changer de Région ne restreint pas l'accès.
4. Un Lambda de remédiation doit retagger et arrêter une instance non conforme. Quelles permissions doivent figurer dans son rôle d'exécution ? (Choisissez DEUX réponses.)
- ec2:CreateTags sur les instances cibles (bonne réponse)
- iam:CreateUser pour provisionner un nouvel opérateur
- ec2:StopInstances sur les instances cibles (bonne réponse)
- s3:DeleteBucket pour nettoyer le stockage associé
Le retag nécessite ec2:CreateTags et l'arrêt ec2:StopInstances, limités aux cibles selon le moindre privilège. iam:CreateUser et s3:DeleteBucket sont hors sujet et accorderaient trop de droits au rôle.
5. Une config rule signale une ressource comme NON_COMPLIANT. Que signifie précisément ce statut de conformité ?
- La ressource a été définitivement supprimée du compte
- La rule n'a pas pu s'exécuter du tout
- La ressource viole la condition de la rule (bonne réponse)
- Le recorder est désactivé pour elle
NON_COMPLIANT signifie que la ressource a été évaluée et ne respecte pas la condition de la rule. C'est différent d'une suppression, d'une erreur d'évaluation et d'un recorder désactivé (qui ne donne aucune évaluation).
6. La gouvernance exige que chaque ressource porte un tag CostCenter. Quelle AWS managed rule de Config impose la présence de tags spécifiés ?
- ec2-instance-managed-by-ssm
- cloudtrail-enabled
- iam-user-mfa-enabled
- required-tags (bonne réponse)
La managed rule required-tags vérifie que les ressources portent les clés de tag (et valeurs optionnelles) que vous indiquez. Les autres rules concernent la gestion SSM, CloudTrail et le MFA, pas les tags.