Un'azienda utilizza un'applicazione mobile che archivia dati sensibili crittografati a riposo con AWS KMS. L'azienda deve impedire la cancellazione accidentale delle chiavi KMS e inviare un'e-mail tramite Amazon SNS agli amministratori quando un utente tenta di eliminare una chiave KMS. Quale soluzione soddisfa questi requisiti con il MINOR overhead operativo?

La soluzione corretta utilizza Amazon EventBridge per rilevare l'operazione DeleteKey di KMS. EventBridge può quindi avviare un runbook di AWS Systems Manager Automation. I runbook di Systems Manager sono predefiniti o personalizzabili e possono essere configurati per annullare l'eliminazione della chiave KMS, fornendo la protezione richiesta con un overhead operativo minimo. EventBridge può anche pubblicare un messaggio su un argomento SNS per notificare gli amministratori. Le opzioni errate presentano i seguenti problemi: L'opzione che menziona AWS Config non è ideale perché AWS Config è principalmente per la valutazione e la conformità delle risorse, non per prevenire azioni in tempo reale o annullare operazioni. L'opzione con AWS Lambda introduce un maggiore overhead operativo a causa della necessità di gestire il codice Lambda personalizzato e le dipendenze. L'opzione che si basa solo su CloudTrail e CloudWatch Alarms notificherebbe solo gli amministratori, ma non preverrebbe o annullerebbe l'eliminazione della chiave KMS.