Un ingegnere della sicurezza ha ruotato tutte le chiavi di accesso IAM in un account AWS e ha abilitato le seguenti regole gestite di AWS Config: mfa-enabled-for-iam-console-access, iam-user-mfa-enabled, access-keys-rotated e iam-user-unused-credentials-check. Dopo aver richiamato l'API IAM GenerateCredentialReport, tutte le risorse risultano non conformi. Qual è la ragione più probabile?

La risposta corretta è che il report delle credenziali IAM è stato generato nelle ultime 4 ore. AWS Config valuta la conformità delle chiavi di accesso IAM in base all'ultimo report delle credenziali IAM. Se il report è stato generato meno di 4 ore prima, AWS Config utilizzerà i dati obsoleti, non riflettendo lo stato attuale delle chiavi ruotate. Per una valutazione accurata, è necessario attendere almeno 4 ore dalla generazione dell'ultimo report o generarne uno nuovo. Le altre opzioni sono meno probabili: l'ingegnere deve avere i permessi per generare il report (GenerateCredentialReport) e per visualizzarlo (GetCredentialReport) per poterlo analizzare, quindi l'assenza di questi permessi impedirebbe la visualizzazione, non la non conformità. Un MaximumExecutionFrequency di 24 ore per le regole di Config potrebbe ritardare la rilevazione, ma non causerebbe una non conformità immediata dopo la rotazione se il report fosse aggiornato.