Een bedrijf beheert publieke certificaten in AWS Certificate Manager (ACM), inclusief geïmporteerde en door ACM uitgegeven certificaten met gemengde validatiemethoden. Een security engineer moet een monitoringoplossing ontwerpen die e-mailalerts verstuurt wanneer een certificaat bijna verloopt. Wat is de meest operationeel efficiënte aanpak?

De meest operationeel efficiënte aanpak is het gebruik van een Amazon EventBridge-regel met het vooraf gedefinieerde ACM-gebeurtenispatroon voor 'Certificate Approaching Expiration'. Dit patroon detecteert automatisch wanneer een certificaat bijna verloopt en stuurt een gebeurtenis naar EventBridge. Door een Amazon SNS-topic als doel te configureren, worden e-mailalerts automatisch verzonden zonder dat er code geschreven of onderhouden hoeft te worden. De andere opties zijn minder efficiënt: Een Lambda-functie schrijven en plannen vereist code-ontwikkeling en -onderhoud. CloudWatch-alarmen zijn niet direct beschikbaar voor de 'DaysToExpiry'-metric voor individuele ACM-certificaten op de manier die beschreven wordt. AWS Security Hub is een bredere beveiligingsdienst en het filteren op het 'NotBefore'-attribuut is niet de juiste manier om naderende certificaatvervaldata te monitoren.