Een bedrijf host zijn webapplicaties in de AWS Cloud. Elastic Load Balancers gebruiken certificaten die zijn geïmporteerd in AWS Certificate Manager (ACM). Het beveiligingsteam moet 30 dagen voordat elk certificaat verloopt op de hoogte worden gesteld. Wat moet een solutions architect aanbevelen?

De juiste oplossing is het maken van een AWS Config-regel die specifiek controleert op ACM-certificaten die binnen 30 dagen verlopen. Wanneer AWS Config een niet-compliant certificaat detecteert (een certificaat dat binnen de ingestelde termijn verloopt), kan het een gebeurtenis publiceren naar Amazon EventBridge. EventBridge kan vervolgens worden geconfigureerd om een Amazon SNS-onderwerp te activeren, dat het beveiligingsteam op de hoogte stelt. Deze aanpak is geautomatiseerd, schaalbaar en maakt gebruik van de ingebouwde compliance- en monitoringmogelijkheden van AWS. De andere opties zijn minder effectief: ACM heeft geen ingebouwde functionaliteit om dagelijks aangepaste berichten te publiceren over verlopende certificaten. AWS Trusted Advisor biedt wel controles voor verlopende certificaten, maar het direct baseren van een CloudWatch-alarm op Trusted Advisor-metrics voor wijzigingen in de controlestatus is niet de meest directe of aanbevolen methode voor proactieve meldingen. Het gebruik van een EventBridge-regel om certificaten te detecteren en een Lambda-functie aan te roepen, vereist het schrijven en onderhouden van aangepaste code in de Lambda-functie om de certificaatstatus te controleren, wat complexer is dan het gebruik van een vooraf gedefinieerde AWS Config-regel.