Une politique exige la désactivation des clés d'accès et des mots de passe pour tout utilisateur IAM inactif depuis 90 jours ou plus. Vous devez implémenter une solution automatisée et opérationnellement efficace pour désactiver les identifiants inutilisés. Quelle conception répond à cette exigence ?

La règle gérée AWS Config iam-user-unused-credentials-check est conçue spécifiquement pour identifier les utilisateurs IAM dont les identifiants (clés d'accès ou mots de passe) n'ont pas été utilisés depuis une période configurable (par défaut 90 jours). En combinant cela avec un runbook AWS Systems Manager Automation, vous pouvez automatiser la désactivation de ces identifiants de manière opérationnellement efficace. Les autres options sont moins optimales : Un workflow Step Functions avec Lambda est possible mais plus complexe à construire et maintenir que la solution Config/Systems Manager. Une règle AWS Config avec un job batch sur EC2 est moins automatisée et moins intégrée que Systems Manager Automation. Supprimer complètement les comptes d'utilisateurs IAM est une action trop radicale et irréversible par rapport à la simple désactivation des identifiants, qui est l'exigence.