Das Sicherheitsteam eines Unternehmens muss jeden neuen IAM-Benutzer genehmigen. Wenn ein neuer IAM-Benutzer erstellt wird, muss diesem automatisch jeglicher Zugriff entzogen werden, und das Sicherheitsteam muss benachrichtigt werden, um den Benutzer zu genehmigen. Das Konto verfügt bereits über einen Multi-Region CloudTrail Trail. Welche Kombination von Schritten wird dies erreichen? (Wählen Sie drei.)

Um die Erstellung neuer IAM-Benutzer zu erkennen, erstellen Sie eine EventBridge-Regel, die auf CloudTrail-Ereignisse mit detail-type: AWS API Call via CloudTrail und eventName: CreateUser filtert. Diese Regel löst aus, sobald ein neuer Benutzer erstellt wird. Als Ziel für diese Regel konfigurieren Sie eine AWS Step Functions-Zustandsmaschine. Diese Zustandsmaschine ist für die Automatisierung der Entziehung jeglichen Zugriffs für den neu erstellten Benutzer verantwortlich, indem sie die entsprechenden IAM-Richtlinien anpasst oder entfernt. Gleichzeitig sendet die Step Functions-Zustandsmaschine oder ein weiteres Ziel der EventBridge-Regel eine Benachrichtigung an ein Amazon SNS-Thema. Dieses SNS-Thema verteilt die Benachrichtigung an das Sicherheitsteam, um die Genehmigung des Benutzers einzuleiten. Falsche Optionen: CloudTrail kann nicht direkt so konfiguriert werden, dass es Benachrichtigungen für spezifische Ereignisse an SNS sendet; EventBridge ist der Vermittler. Das Aufrufen eines Containers in Amazon ECS mit Fargate ist eine unnötig komplexe und teure Lösung für die Zugriffsverwaltung und Benachrichtigung im Vergleich zu Step Functions und SNS. Amazon Pinpoint ist ein Kommunikationsdienst für Marketing und Kundenbindung, nicht für interne Sicherheitsbenachrichtigungen.