Votre organisation importe des certificats SSL/TLS d'un fournisseur tiers dans AWS Certificate Manager (ACM) pour les utiliser avec des applications web publiques. Vous devez notifier l'équipe de sécurité 90 jours avant l'expiration de tout certificat importé. L'équipe de sécurité est abonnée à un sujet Amazon SNS existant et il existe une file d'attente SQS existante. Quelle solution notifiera de manière fiable l'équipe de sécurité 90 jours avant l'expiration ?

La règle gérée acm-certificate-expiration-check d'AWS Config est conçue spécifiquement pour détecter les certificats ACM qui expirent dans un nombre de jours configurable (par défaut 90 jours). En l'activant, AWS Config évalue régulièrement la conformité de vos certificats. Lorsqu'un certificat est jugé non conforme (c'est-à-dire qu'il expire bientôt), AWS Config émet un événement Config Rules Compliance Change. Une règle Amazon EventBridge peut alors être configurée pour capturer ces événements spécifiques et envoyer une notification au sujet SNS existant, assurant ainsi une alerte fiable 90 jours avant l'expiration. Les autres options sont moins efficaces ou plus complexes : Une règle EventBridge pour ACM Certificate Approaching Expiration n'existe pas directement comme type d'événement standard pour les certificats importés. Une fonction Lambda personnalisée serait plus complexe à maintenir et à déployer, nécessitant une logique de balayage et de gestion des états. Un workflow Step Functions avec CloudTrail serait trop complexe et CloudTrail ne génère pas directement des événements d'expiration de certificat de cette manière.