Les employés ont des autorisations AWS limitées, mais les ingénieurs DevOps peuvent endosser un rôle d'administrateur. L'équipe de sécurité a besoin de notifications en temps quasi réel chaque fois que le rôle d'administrateur est endossé. Que faut-il implémenter ?

La bonne réponse est de créer une règle Amazon EventBridge qui correspond à l'événement d'API CloudTrail pour AssumeRole, la faire invoquer une fonction AWS Lambda qui publie un message sur une rubrique Amazon SNS lorsque le rôle d'administrateur est endossé. Cette approche est la plus efficace car CloudTrail enregistre l'événement AssumeRole lorsqu'un rôle est endossé. EventBridge peut filtrer spécifiquement cet événement et déclencher une fonction Lambda pour envoyer une notification via SNS, assurant une notification en temps quasi réel. Les autres options sont moins appropriées : Configurer AWS Config pour livrer les journaux à un compartiment Amazon S3 et utiliser Amazon Athena pour interroger ces journaux est une approche réactive et non en temps quasi réel. Les requêtes Athena prennent du temps et ne sont pas instantanées. Amazon GuardDuty est un service de détection des menaces qui surveille les activités malveillantes et les comportements non autorisés, mais il n'est pas conçu pour des notifications spécifiques et en temps quasi réel sur l'endossement de rôles légitimes. Créer une règle Amazon EventBridge qui correspond aux événements de connexion à la console de gestion AWS est trop large. L'endossement d'un rôle ne se produit pas toujours via la console de gestion et cet événement ne capture pas spécifiquement l'action AssumeRole.