L'équipe de sécurité utilise la rotation manuelle des clés AWS KMS et a besoin de notifications lorsque des clés client n'ont pas été tournées depuis plus de 90 jours. Quelle solution permet d'y parvenir ?

La bonne réponse est de développer une règle personnalisée AWS Config. AWS Config est conçu pour évaluer la conformité des ressources AWS. Une règle personnalisée peut être configurée pour vérifier l'âge de la dernière rotation des clés KMS et déclencher une non-conformité si elle dépasse 90 jours. Cette non-conformité peut ensuite être configurée pour publier des notifications sur une rubrique Amazon SNS, alertant ainsi l'équipe de sécurité. Les autres options sont incorrectes car : AWS KMS ne propose pas de fonctionnalité native pour publier sur SNS en fonction de l'âge de rotation des clés. AWS Trusted Advisor ne fournit pas de vérification spécifique pour la rotation des clés KMS au-delà de 90 jours. Bien qu'il ait des vérifications de sécurité, celle-ci n'est pas standard et nécessiterait une logique personnalisée. AWS Security Hub agrège les résultats de sécurité mais ne crée pas de détection personnalisée pour la rotation des clés KMS de cette manière. Il s'appuie sur d'autres services comme AWS Config pour ces évaluations.