Il team di sicurezza utilizza la rotazione manuale delle chiavi AWS KMS e necessita di notifiche quando le chiavi dei clienti non sono state ruotate per più di 90 giorni. Quale soluzione realizza questo obiettivo?

La risposta corretta è sviluppare una regola personalizzata di AWS Config. AWS Config è progettato per valutare la conformità delle risorse AWS rispetto a regole predefinite o personalizzate. Una regola personalizzata può ispezionare le chiavi KMS e determinare se sono state ruotate negli ultimi 90 giorni. Se una chiave non è conforme, AWS Config può inviare una notifica a un argomento Amazon SNS, che a sua volta può avvisare il team di sicurezza. Le altre opzioni sono meno adatte: AWS KMS non ha una funzionalità nativa per pubblicare su SNS in base alla rotazione delle chiavi. AWS Trusted Advisor non offre un controllo specifico per la rotazione delle chiavi KMS oltre i 90 giorni in modo programmatico per questa esigenza. AWS Security Hub aggrega i risultati di sicurezza, ma non crea direttamente regole di conformità personalizzate per questo scenario specifico di rotazione delle chiavi KMS.