Un ingénieur de sécurité a fait pivoter toutes les clés d'accès IAM dans un compte AWS et a activé les règles gérées AWS Config suivantes : mfa-enabled-for-iam-console-access, iam-user-mfa-enabled, access-keys-rotated et iam-user-unused-credentials-check. Après avoir invoqué l'API IAM GenerateCredentialReport, toutes les ressources apparaissent comme non conformes. Quelle est la raison la plus probable ?

La règle AWS Config access-keys-rotated vérifie si les clés d'accès IAM ont été pivotées dans les 90 jours. Cependant, elle ne vérifie pas les clés d'accès qui ont été utilisées au cours des 90 derniers jours. De plus, les règles AWS Config basées sur le rapport d'informations d'identification IAM (comme mfa-enabled-for-iam-console-access, iam-user-mfa-enabled, access-keys-rotated et iam-user-unused-credentials-check) s'appuient sur ce rapport. Si le rapport a été généré au cours des 4 dernières heures, AWS Config utilise le rapport précédent, ce qui peut entraîner des résultats obsolètes et des ressources signalées comme non conformes alors qu'elles devraient l'être. Les options concernant les permissions GenerateCredentialReport ou GetCredentialReport sont incorrectes car l'ingénieur a pu invoquer l'API GenerateCredentialReport. L'option sur MaximumExecutionFrequency est peu probable d'être la cause principale, car même avec une fréquence de 24 heures, un nouveau rapport finirait par être traité, et le problème ici est la latence spécifique du rapport d'informations d'identification.