El equipo de seguridad utiliza la rotación manual de claves de AWS KMS y necesita notificaciones cuando alguna clave de cliente no se haya rotado durante más de 90 días. ¿Qué solución logra esto?

La opción correcta es desarrollar una regla personalizada de AWS Config. AWS Config es ideal para evaluar la conformidad de los recursos de AWS con las configuraciones deseadas. Una regla personalizada puede monitorear la propiedad de rotación de las claves de KMS y detectar aquellas que no se han rotado en el período especificado, enviando notificaciones a un tema de SNS. Las otras opciones son incorrectas porque: AWS KMS no tiene una función nativa para publicar en SNS cuando las claves superan un umbral de no rotación. AWS Trusted Advisor puede verificar la rotación de claves, pero no ofrece una integración directa con EventBridge para este tipo de monitoreo continuo y personalizado sin una lógica adicional compleja. AWS Security Hub agrega hallazgos de seguridad de varios servicios, pero no proporciona una detección directa y personalizable para este escenario específico de rotación manual de claves de KMS sin una integración subyacente con AWS Config u otro servicio de monitoreo.