Una política requiere deshabilitar las claves de acceso y las contraseñas de cualquier usuario de IAM que no haya estado activo durante 90 días o más. Debe implementar una solución automatizada y operativamente eficiente para deshabilitar las credenciales no utilizadas. ¿Qué diseño cumple con este requisito?

La opción correcta utiliza una regla administrada de AWS Config (como iam-user-unused-credentials-check) para identificar usuarios inactivos. Luego, un runbook de AWS Systems Manager Automation puede ser invocado para deshabilitar las claves de acceso de esos usuarios, lo que es una solución automatizada y operativamente eficiente. Deshabilitar las claves es preferible a eliminarlas, ya que permite una fácil reactivación si es necesario. Las otras opciones son menos eficientes o no cumplen completamente el requisito: AWS Step Functions con Lambda puede ser complejo para esta tarea específica y no es la solución más directa para la detección de inactividad de credenciales. Una instancia EC2 con un trabajo por lotes semanal es menos automatizada y más costosa que AWS Config y Systems Manager. Eliminar cuentas de usuario de IAM es una acción demasiado drástica; la política pide deshabilitar las credenciales, no eliminar las cuentas.