Mientras se reescribe una aplicación (12 meses), la empresa necesita una forma automatizada y con poco esfuerzo operativo para encontrar y rotar las claves de acceso de IAM que tienen al menos 30 días de antigüedad, y luego continuar rotando las claves cada 30 días. ¿Qué solución proporciona la automatización requerida con la menor sobrecarga operativa?

La opción correcta es utilizar una regla de AWS Config porque ofrece una solución nativa de AWS, automatizada y de baja sobrecarga operativa. AWS Config puede monitorear continuamente el cumplimiento de las claves de acceso de IAM y activar un runbook de AWS Systems Manager Automation para rotar automáticamente las claves que superen los 30 días. Esto elimina la necesidad de gestión de infraestructura y proporciona una solución escalable. Las otras opciones son menos óptimas: AWS Trusted Advisor identifica problemas, pero no tiene la capacidad nativa de invocar runbooks para remediación automática de claves de acceso. Un script personalizado en una instancia EC2 introduce sobrecarga operativa para la gestión de la instancia y el script, lo que va en contra del requisito de bajo esfuerzo. Una función Lambda activada por EventBridge al crear una clave no aborda la rotación periódica de claves existentes cada 30 días, y requeriría lógica adicional para escanear y rotar claves antiguas, aumentando la complejidad.