员工的 AWS 权限有限，但 DevOps 工程师可以代入管理员角色。安全团队需要管理员角色被代入时近乎实时的通知。应该实施什么？

正确答案是创建 Amazon EventBridge 规则，该规则匹配 AssumeRole 的 CloudTrail API 事件，让它调用一个 AWS Lambda 函数，该函数在管理员角色被代入时向 Amazon SNS 主题发布消息。这是因为 CloudTrail 记录了所有 API 调用，包括 AssumeRole 操作。EventBridge 可以近乎实时地捕获这些 CloudTrail 事件，并触发 Lambda 函数来处理事件并向 SNS 发布通知，从而实现即时警报。 配置 AWS Config 和 Amazon Athena 查询日志虽然可以实现审计，但不是近乎实时的通知机制，因为需要定期查询日志。Amazon GuardDuty 专注于威胁检测，而不是特定 API 调用的实时通知。创建 Amazon EventBridge 规则匹配 AWS Management Console 登录事件不准确，因为角色代入可以通过 CLI 或 SDK 发生，且不一定是控制台登录事件。