Su organización importa certificados SSL/TLS de un proveedor externo a AWS Certificate Manager (ACM) para usarlos con aplicaciones web públicas. Debe notificar al equipo de seguridad 90 días antes de que caduque cualquier certificado importado. El equipo de seguridad está suscrito a un tema de Amazon SNS existente y hay una cola SQS existente. ¿Qué solución notificará de forma fiable al equipo de seguridad 90 días antes del vencimiento?

La opción correcta utiliza la regla administrada acm-certificate-expiration-check de AWS Config, que está diseñada específicamente para monitorear la caducidad de los certificados de ACM. Al habilitarla y configurarla para una ejecución diaria, AWS Config evaluará continuamente el estado de los certificados. Luego, una regla de EventBridge puede detectar los cambios de cumplimiento (cuando un certificado se acerca a la caducidad) y enviar una notificación al tema de SNS existente, que a su vez alertará al equipo de seguridad. Las opciones incorrectas son: Crear una regla de EventBridge para el tipo de evento "ACM Certificate Approaching Expiration" no es suficiente, ya que este evento se activa 45 días antes de la caducidad, no 90 días como se requiere. Una función Lambda que busque certificados es una solución personalizada que requiere mantenimiento y programación compleja para escanear y filtrar correctamente los certificados con 90 días de antelación. Un flujo de trabajo de Step Functions activado por CloudTrail para notificaciones de caducidad no es el mecanismo más directo ni eficiente, ya que CloudTrail registra llamadas a la API, no eventos de caducidad programados con antelación.