Uma política exige a desativação de chaves de acesso e senhas para qualquer usuário IAM que não esteja ativo há 90 dias ou mais. Você deve implementar uma solução automatizada e operacionalmente eficiente para desativar credenciais não utilizadas. Qual design atende a esse requisito?

A regra gerenciada do AWS Config iam-user-unused-credentials-check identifica usuários IAM com credenciais (chaves de acesso e senhas) não utilizadas por um período configurável, como 90 dias. Essa regra pode ser configurada para acionar automaticamente um runbook do AWS Systems Manager Automation. O Systems Manager Automation pode então executar ações predefinidas, como desativar chaves de acesso e redefinir senhas para os usuários identificados, atendendo ao requisito de forma automatizada e eficiente. As outras opções são menos eficientes ou inadequadas: O AWS Step Functions com Lambda é uma solução válida, mas a regra gerenciada do Config e o Systems Manager Automation oferecem uma abordagem mais integrada e menos complexa para esse caso de uso específico. Usar uma regra do AWS Config para detectar e um trabalho em lote em EC2 é menos automatizado e mais complexo de gerenciar do que o Systems Manager Automation. Excluir contas de usuário IAM inativas é uma ação muito drástica e não é o que a política exige; a política pede a desativação das credenciais, não a exclusão da conta.