Una empresa aloja sus aplicaciones web en la nube de AWS. Los Elastic Load Balancers utilizan certificados importados en AWS Certificate Manager (ACM). El equipo de seguridad debe ser notificado 30 días antes de que caduque cada certificado. ¿Qué debe recomendar un arquitecto de soluciones?

La opción correcta es crear una regla de AWS Config porque AWS Config puede monitorear los certificados de ACM y detectar aquellos que están por expirar dentro de un período específico, como 30 días. Cuando AWS Config detecta un certificado no conforme (próximo a expirar), puede enviar un evento a Amazon EventBridge, que a su vez puede activar una notificación a través de Amazon SNS, alertando al equipo de seguridad. Las otras opciones son menos adecuadas: Añadir una regla en ACM directamente para publicar mensajes personalizados no es una funcionalidad nativa de ACM para alertas de expiración. AWS Trusted Advisor puede verificar certificados, pero su integración directa para alarmas personalizadas de expiración con CloudWatch no es tan granular ni automatizada como AWS Config para este caso. Crear una regla de Amazon EventBridge para detectar certificados que caducan en 30 días requeriría una lógica personalizada compleja dentro de una función Lambda para escanear y evaluar todos los certificados, lo cual es menos eficiente que usar la capacidad de monitoreo de cumplimiento de AWS Config.