Uma empresa usa um aplicativo móvel que armazena dados confidenciais criptografados em repouso com o AWS KMS. A empresa deve evitar a exclusão acidental de chaves KMS e enviar um e-mail via Amazon SNS para os administradores quando um usuário tentar excluir uma chave KMS. Qual solução atende a esses requisitos com o MENOR overhead operacional?

A opção correta utiliza o Amazon EventBridge para reagir diretamente à operação DeleteKey do KMS. O EventBridge pode então iniciar um runbook de automação do AWS Systems Manager para cancelar a exclusão da chave, impedindo a ação. Simultaneamente, o EventBridge pode publicar uma mensagem em um tópico SNS para notificar os administradores. Essa abordagem é a que tem o menor overhead operacional porque o EventBridge e o Systems Manager Automation são serviços gerenciados que se integram de forma nativa e eficiente para responder a eventos e executar ações corretivas sem a necessidade de gerenciar servidores ou escrever código complexo. A primeira opção está incorreta porque o AWS Config não pode "cancelar" uma exclusão de chave KMS; ele é usado para avaliar a conformidade dos recursos. A segunda opção, embora funcional, introduz overhead de desenvolvimento e manutenção de uma função Lambda personalizada. A quarta opção notifica os administradores, mas não impede a exclusão da chave KMS, falhando em um dos requisitos principais.