Een bedrijf gebruikt een mobiele app die gevoelige gegevens versleuteld opslaat met AWS KMS. Het bedrijf moet onbedoelde verwijdering van KMS-sleutels voorkomen en een e-mail via Amazon SNS naar beheerders sturen wanneer een gebruiker probeert een KMS-sleutel te verwijderen. Welke oplossing voldoet aan deze vereisten met de MINSTE operationele overhead?

De correcte optie gebruikt Amazon EventBridge om te reageren op de DeleteKey-gebeurtenis van AWS KMS. EventBridge kan direct een AWS Systems Manager Automation runbook starten om de verwijdering van de KMS-sleutel te annuleren, wat de onbedoelde verwijdering voorkomt. Tegelijkertijd kan EventBridge een SNS-bericht publiceren om beheerders te informeren. Dit is de oplossing met de minste operationele overhead omdat het gebruikmaakt van beheerde services en geen aangepaste code (zoals Lambda) vereist voor het voorkomen van de verwijdering. De eerste optie is onjuist omdat AWS Config geen ingebouwde functionaliteit heeft om een KMS-sleutelverwijdering te annuleren. De tweede optie introduceert onnodige complexiteit en overhead met een Lambda-functie en CloudWatch-alarmen, terwijl een Automation runbook dit efficiënter kan afhandelen. De vierde optie meldt alleen de verwijderingspoging, maar voorkomt deze niet, wat een kernvereiste van de vraag is.