Une entreprise exige que toutes les ressources cloud soient déployées avec CloudFormation et souhaite des notifications immédiates à l'équipe de sécurité si un rôle IAM est créé en dehors de CloudFormation. Un sujet SNS existe avec l'e-mail de l'équipe de sécurité abonné. Quelle solution enverra des notifications immédiates lorsqu'un rôle est créé sans CloudFormation ?

La bonne réponse est de créer une règle Amazon EventBridge qui correspond aux événements CloudTrail pour la création de rôle IAM ne provenant pas de CloudFormation et de définir le sujet SNS comme cible de la règle. EventBridge permet de réagir en temps réel aux événements AWS. En configurant une règle pour filtrer les événements CreateRole de CloudTrail et en y ajoutant une condition pour exclure les événements provenant de CloudFormation (via le champ userIdentity.sessionContext.sessionIssuer.userName ou invokedBy), EventBridge peut déclencher une notification immédiate au sujet SNS. Les autres options impliquent des solutions de polling (interrogation) qui ne fourniraient pas de notifications immédiates et seraient moins efficaces. Interroger CloudTrail toutes les 15 minutes avec Lambda, Fargate ou EC2 introduirait un délai et des coûts supplémentaires par rapport à la réactivité native d'EventBridge.