Een beveiligingsengineer heeft alle IAM access keys in een AWS-account geroteerd en de volgende AWS Config managed rules ingeschakeld: mfa-enabled-for-iam-console-access, iam-user-mfa-enabled, access-keys-rotated en iam-user-unused-credentials-check. Na het aanroepen van de IAM GenerateCredentialReport API, verschijnen alle resources als noncompliant. Wat is de meest waarschijnlijke reden?

De meest waarschijnlijke reden is dat het IAM credential report binnen de laatste 4 uur is gegenereerd. AWS Config managed rules die IAM-gerelateerde controles uitvoeren (zoals access-keys-rotated en iam-user-unused-credentials-check) zijn afhankelijk van het IAM credential report. Dit rapport wordt maximaal eens per 4 uur bijgewerkt. Als het rapport recentelijk is gegenereerd, weerspiegelt het nog niet de nieuwste status na de rotatie van de access keys, waardoor de resources als noncompliant verschijnen. De andere opties zijn onwaarschijnlijk: Zonder GenerateCredentialReport en GetCredentialReport permissies zou de engineer de API helemaal niet kunnen aanroepen of het rapport niet kunnen inzien. Een MaximumExecutionFrequency van 24 uur zou de regels minder vaak uitvoeren, maar niet direct verklaren waarom alle resources noncompliant zijn direct na een actie die compliantie zou moeten herstellen. De vertraging zit hier in de update van het onderliggende credential report.