Uw organisatie importeert SSL/TLS-certificaten van een externe provider in AWS Certificate Manager (ACM) voor gebruik met openbare webapps. U moet het beveiligingsteam 90 dagen voordat een geïmporteerd certificaat verloopt, op de hoogte stellen. Het beveiligingsteam is geabonneerd op een bestaand Amazon SNS-onderwerp en er is een bestaande SQS-wachtrij. Welke oplossing zal het beveiligingsteam betrouwbaar 90 dagen vóór de vervaldatum op de hoogte stellen?

De correcte oplossing maakt gebruik van AWS Config en EventBridge. De beheerde regel acm-certificate-expiration-check in AWS Config controleert automatisch op certificaten die bijna verlopen. Wanneer deze regel een non-compliant certificaat detecteert (d.w.z. een certificaat dat binnen de ingestelde drempel verloopt), genereert AWS Config een Config Rules Compliance Change-gebeurtenis. Een EventBridge-regel kan vervolgens worden geconfigureerd om op deze specifieke gebeurtenis te reageren en het bestaande SNS-onderwerp als doel te gebruiken, waardoor het beveiligingsteam betrouwbaar wordt geïnformeerd. De optie met EventBridge en het ACM Certificate Approaching Expiration-gebeurtenistype is incorrect omdat dit gebeurtenistype alleen wordt geactiveerd voor certificaten die door ACM zijn uitgegeven en beheerd, niet voor geïmporteerde certificaten. De Lambda-functie die elke certificaat-ARN naar SQS stuurt, vereist handmatige ontwikkeling en onderhoud, wat minder efficiënt is dan een beheerde service. De Step Functions-workflow die wordt geactiveerd door CloudTrail is ook minder efficiënt en complexer dan de beheerde AWS Config-oplossing, en CloudTrail registreert API-aanroepen, niet automatisch vervalmeldingen op de manier die hier nodig is.