Ihre Organisation importiert SSL/TLS-Zertifikate von einem Drittanbieter in AWS Certificate Manager (ACM), um sie mit öffentlichen Webanwendungen zu verwenden. Sie müssen das Sicherheitsteam 90 Tage vor Ablauf eines importierten Zertifikats benachrichtigen. Das Sicherheitsteam ist einem bestehenden Amazon SNS-Thema abonniert, und es gibt eine bestehende SQS-Warteschlange. Welche Lösung benachrichtigt das Sicherheitsteam zuverlässig 90 Tage vor dem Ablauf?

Die Aktivierung der verwalteten AWS Config-Regel "acm-certificate-expiration-check" ist die zuverlässigste Lösung. Diese Regel prüft täglich den Ablauf von ACM-Zertifikaten und markiert sie als nicht konform, wenn sie innerhalb von 90 Tagen ablaufen. Eine EventBridge-Regel kann dann auf diese "Config Rules Compliance Change"-Ereignisse reagieren und eine Benachrichtigung an das vorhandene SNS-Thema senden, das das Sicherheitsteam abonniert hat. Die Option mit "ACM Certificate Approaching Expiration" EventBridge ist falsch, da dieser Event-Typ nur für von ACM ausgestellte Zertifikate gilt, nicht für importierte. Eine Lambda-Funktion, die Zertifikate abfragt und an SQS sendet, wäre eine manuelle Implementierung, die aufwendiger ist und Fehlerquellen birgt als die verwaltete Config-Regel. Ein Step Functions-Workflow, der durch CloudTrail ausgelöst wird, ist für diesen Anwendungsfall zu komplex und CloudTrail erfasst keine direkten Ablaufereignisse für Zertifikate.