Eine Richtlinie erfordert die Deaktivierung von Zugriffsschlüsseln und Passwörtern für jeden IAM-Benutzer, der seit 90 Tagen oder länger nicht aktiv war. Sie müssen eine automatisierte, betrieblich effiziente Lösung zur Deaktivierung ungenutzter Anmeldeinformationen implementieren. Welches Design erfüllt diese Anforderung?

Die korrekte Lösung nutzt AWS Config und AWS Systems Manager Automation. Eine verwaltete AWS Config-Regel (z.B. iam-user-unused-credentials-check) kann IAM-Benutzer erkennen, die ihre Anmeldeinformationen (Passwörter oder Zugriffsschlüssel) über einen bestimmten Zeitraum nicht verwendet haben. Wenn diese Regel eine Nicht-Compliance feststellt, kann sie eine AWS Systems Manager Automation auslösen. Ein Automation-Runbook kann dann die notwendigen Aktionen durchführen, um die Zugriffsschlüssel und Passwörter dieser inaktiven Benutzer zu deaktivieren. Dies ist eine betrieblich effiziente und automatisierte Lösung. Die anderen Optionen sind weniger optimal: AWS Step Functions und Lambda sind zwar leistungsstark, erfordern aber mehr benutzerdefinierte Entwicklung und Wartung als eine verwaltete Config-Regel. Ein Batch-Job auf einer EC2-Instanz ist weniger serverlos und erfordert das Management der Instanz. Das automatische Löschen von IAM-Benutzerkonten ist zu drastisch; die Anforderung ist das Deaktivieren von Anmeldeinformationen, nicht das Löschen des Benutzers.