한 회사의 보안 팀은 모든 새로운 IAM 사용자를 승인해야 합니다. 새로운 IAM 사용자가 생성되면 해당 사용자는 모든 액세스 권한이 자동으로 제거되어야 하며, 보안 팀에 사용자 승인을 위한 알림이 전송되어야 합니다. 이 계정에는 이미 다중 리전 CloudTrail 트레일이 있습니다. 다음 단계 중 어떤 조합이 이를 달성할 수 있을까요? (세 가지 선택)

새 IAM 사용자가 생성될 때 자동으로 액세스 권한을 제거하고 보안 팀에 알리려면 세 가지 구성 요소가 필요합니다. 첫째, CloudTrail 이벤트를 기반으로 워크플로를 트리거하기 위해 Amazon EventBridge(이전의 CloudWatch Events) 규칙을 생성해야 합니다. 이 규칙은 detail-type을 AWS API Call via CloudTrail로, eventName을 CreateUser로 설정하여 새 IAM 사용자 생성 이벤트를 감지합니다. 둘째, 사용자 액세스 권한을 제거하는 복잡한 논리를 처리하기 위해 AWS Step Functions 상태 머신을 호출하는 것이 가장 적합합니다. Step Functions는 순차적인 작업과 오류 처리를 쉽게 오케스트레이션할 수 있습니다. 셋째, 보안 팀에 알리기 위해 Amazon SNS를 사용하는 것이 가장 적합합니다. SNS는 이메일, SMS 등 다양한 구독자에게 알림을 보낼 수 있는 간단하고 확장 가능한 메시징 서비스입니다. CloudTrail이 직접 SNS 주제로 알림을 보내도록 구성하는 것은 사용자 액세스 제거 로직을 처리하지 못하므로 불완전합니다. AWS Fargate를 사용하여 액세스를 제거하는 것은 가능하지만, Step Functions는 상태 관리 및 재시도 로직을 내장하고 있어 이러한 종류의 워크플로에 더 적합합니다. Amazon Pinpoint는 주로 마케팅 및 고객 커뮤니케이션에 사용되므로 내부 보안 알림에는 적합하지 않습니다.