La tua organizzazione importa certificati SSL/TLS da un provider di terze parti in AWS Certificate Manager (ACM) per utilizzarli con le app web pubbliche. È necessario notificare al team di sicurezza 90 giorni prima della scadenza di qualsiasi certificato importato. Il team di sicurezza è iscritto a un argomento Amazon SNS esistente ed è presente una coda SQS esistente. Quale soluzione notificherà in modo affidabile il team di sicurezza 90 giorni prima della scadenza?

La soluzione corretta è abilitare la regola gestita acm-certificate-expiration-check in AWS Config. Questa regola valuta i certificati ACM e segnala la non conformità se un certificato scade entro il numero di giorni configurato (ad esempio, 90 giorni). AWS Config genera eventi Config Rules Compliance Change quando lo stato di conformità di una risorsa cambia. Una regola EventBridge può essere configurata per catturare questi eventi specifici per la regola acm-certificate-expiration-check e inoltrare le notifiche all'argomento SNS esistente, garantendo che il team di sicurezza venga avvisato in modo affidabile. Le altre opzioni sono meno efficaci: La regola EventBridge per ACM Certificate Approaching Expiration non esiste come tipo di evento diretto per i certificati importati con la granularità richiesta di 90 giorni. Una funzione Lambda personalizzata richiederebbe una logica di scansione e gestione dello stato complessa, oltre a una pianificazione, rendendola meno efficiente e più soggetta a errori rispetto a una soluzione gestita. I flussi di lavoro Step Functions attivati da CloudTrail per le notifiche di scadenza dei certificati non sono un meccanismo standard o efficiente per questo tipo di monitoraggio proattivo della scadenza.