Un desarrollador gestiona muchos secretos en AWS Secrets Manager que utilizan varias aplicaciones. Con el tiempo, algunos secretos se rotan o dejan de usarse. El desarrollador necesita determinar qué secretos de Secrets Manager están siendo utilizados actualmente por las aplicaciones sin causar tiempo de inactividad. ¿Qué enfoque debería adoptar el desarrollador?

La opción correcta es habilitar la regla gestionada de AWS Config secretsmanager-secret-unused y crear una regla de EventBridge. AWS Config es un servicio que permite evaluar, auditar y analizar las configuraciones de los recursos de AWS. La regla secretsmanager-secret-unused está diseñada específicamente para identificar secretos en Secrets Manager que no han sido accedidos durante un período definido, lo que permite al desarrollador identificar secretos inactivos sin afectar las aplicaciones. EventBridge puede entonces automatizar notificaciones o acciones cuando esta regla detecta un secreto no utilizado. Las otras opciones son incorrectas porque: Habilitar CloudTrail y monitorear GetSecretValue con CloudWatch Alarm solo indicaría cuándo se accede a un secreto, no cuándo no se usa, y podría generar falsos positivos o ser difícil de configurar para un uso prolongado. Desactivar temporalmente los secretos causaría tiempo de inactividad en las aplicaciones que los utilizan, lo cual es explícitamente lo que se quiere evitar. Habilitar AWS X-Ray para rastrear llamadas a la API GetSecretValue es útil para depuración y monitoreo de rendimiento, pero no está diseñado para identificar de manera eficiente secretos no utilizados en un gran conjunto de secretos sin un desarrollo significativo.