Während eine Anwendungs-Neuentwicklung (12 Monate) im Gange ist, benötigt das Unternehmen eine automatisierte, wartungsarme Methode, um IAM-Zugriffsschlüssel zu finden und zu rotieren, die mindestens 30 Tage alt sind, und die Schlüssel dann alle 30 Tage weiter zu rotieren. Welche Lösung bietet die erforderliche Automatisierung mit dem geringsten Betriebsaufwand?

Die Verwendung einer AWS Config-Regel in Verbindung mit einem AWS Systems Manager Automation-Runbook ist die effizienteste und wartungsärmste Lösung. AWS Config kann kontinuierlich IAM-Zugriffsschlüssel überwachen und Verstöße (z. B. Schlüssel, die älter als 30 Tage sind) erkennen. Bei Erkennung kann AWS Config automatisch ein Systems Manager Automation-Runbook auslösen, das die Rotation der Schlüssel übernimmt. Dies automatisiert den gesamten Prozess ohne manuellen Eingriff und minimiert den Betriebsaufwand. AWS Trusted Advisor identifiziert zwar alte Schlüssel, kann aber keine automatische Rotation auslösen. Ein benutzerdefiniertes Skript auf einer EC2-Instanz erfordert Wartung der Instanz und des Skripts selbst. Eine Lambda-Funktion mit EventBridge kann dies tun, aber die Kombination von AWS Config und Systems Manager ist für diese Art der Compliance-Überwachung und automatisierten Behebung oft einfacher zu implementieren und zu verwalten, da AWS Config bereits die Überwachung und Auslösung übernimmt.