Una policy richiede la disabilitazione delle chiavi di accesso e delle password per qualsiasi utente IAM che non sia stato attivo per 90 giorni o più. È necessario implementare una soluzione automatizzata ed efficiente dal punto di vista operativo per disabilitare le credenziali inutilizzate. Quale design soddisfa questo requisito?

La soluzione migliore è utilizzare una regola gestita di AWS Config per identificare gli utenti IAM inattivi da 90 giorni. Questa regola può poi attivare un runbook di AWS Systems Manager Automation per disabilitare in modo efficiente e automatizzato le chiavi di accesso e le password degli utenti identificati. Questo approccio è completamente serverless e gestito da AWS, riducendo l'overhead operativo. Le altre opzioni presentano delle inefficienze o delle lacune: Un workflow di Step Functions con Lambda e EventBridge è fattibile, ma la combinazione Config + Systems Manager è più diretta per questo specifico caso d'uso di conformità. L'uso di un'istanza EC2 per un job batch introduce un server da gestire e non è efficiente come le soluzioni serverless. Eliminare l'intero account utente IAM è troppo drastico; la richiesta è di disabilitare le credenziali, non di eliminare l'utente.