Un ingeniero de seguridad rotó todas las claves de acceso de IAM en una cuenta de AWS y habilitó las siguientes reglas administradas de AWS Config: mfa-enabled-for-iam-console-access, iam-user-mfa-enabled, access-keys-rotated y iam-user-unused-credentials-check. Después de invocar la API IAM GenerateCredentialReport, todos los recursos aparecen como no conformes. ¿Cuál es la razón más probable?

La razón más probable es que el informe de credenciales de IAM se generó en las últimas 4 horas. AWS Config evalúa la conformidad de las reglas access-keys-rotated e iam-user-unused-credentials-check basándose en el informe de credenciales de IAM. Si este informe se generó recientemente (dentro de las últimas 4 horas), AWS Config lo considera obsoleto para estas reglas y, por lo tanto, reporta los recursos como no conformes. Para que las reglas se evalúen correctamente, el informe debe tener más de 4 horas de antigüedad, o debe generarse uno nuevo y esperar a que AWS Config lo procese. Las otras opciones son incorrectas: Si el ingeniero no tuviera los permisos GenerateCredentialReport o GetCredentialReport, la API no se habría invocado o el informe no se habría recuperado, pero la pregunta indica que se invocó y se vieron los resultados. La frecuencia de ejecución de AWS Config no es la causa directa del problema de conformidad en este escenario, ya que el problema radica en la frescura del informe de credenciales utilizado para la evaluación.