Terwijl een applicatie-herschrijving aan de gang is (12 maanden), heeft het bedrijf een geautomatiseerde, onderhoudsarme manier nodig om IAM access keys te vinden en te roteren die minstens 30 dagen oud zijn, en vervolgens elke 30 dagen keys te blijven roteren. Welke oplossing biedt de vereiste automatisering met de minste operationele overhead?

De juiste optie is het gebruik van een AWS Config-regel die IAM access keys detecteert die 30 dagen of ouder zijn. AWS Config kan vervolgens een AWS Systems Manager Automation runbook activeren om deze keys automatisch te roteren. Dit biedt de vereiste automatisering met minimale operationele overhead, omdat AWS de detectie en rotatie beheert. AWS Trusted Advisor kan weliswaar oude access keys identificeren, maar kan geen automatische rotatie initiëren via een Systems Manager runbook. Een aangepast script op een EC2-instantie vereist handmatig beheer en onderhoud van de EC2-instantie en het script zelf, wat de operationele overhead verhoogt. Een Lambda-functie die wordt geactiveerd bij het aanmaken van een access key, roteert de key niet na 30 dagen; daarvoor zou een periodieke trigger nodig zijn, en het beheer van de Lambda-functie is meer overhead dan de AWS Config/Systems Manager-oplossing.