Une entreprise gère des certificats publics dans AWS Certificate Manager (ACM), y compris des certificats importés et des certificats émis par ACM avec des méthodes de validation mixtes. Un ingénieur en sécurité doit concevoir une solution de surveillance qui envoie des alertes par e-mail lorsqu'un certificat approche de son expiration. Quelle est l'approche la plus efficace sur le plan opérationnel ?

L'approche la plus efficace sur le plan opérationnel est d'utiliser le modèle d'événement prédéfini d'Amazon EventBridge pour "Certificate Approaching Expiration" (Certificat approchant de l'expiration). Cette méthode est entièrement gérée et ne nécessite pas de code personnalisé ou de gestion d'infrastructure. EventBridge détecte automatiquement les certificats ACM (émis par ACM ou importés) qui approchent de l'expiration et déclenche un événement. En configurant une rubrique Amazon SNS comme cible, les notifications par e-mail sont envoyées automatiquement. Les autres options sont moins efficaces : La fonction Lambda nécessite le développement, le déploiement et la maintenance de code, ainsi que la gestion de l'exécution planifiée. L'alarme CloudWatch avec la métrique DaysToExpiry n'est pas disponible pour les certificats ACM, seulement pour les certificats SSL/TLS d'Elastic Load Balancer. AWS Security Hub est un excellent outil de sécurité, mais il n'est pas conçu pour la surveillance proactive de l'expiration des certificats ACM de cette manière ; il se concentre sur les résultats de conformité et de sécurité.