Firma importuje certyfikaty SSL od zewnętrznego dostawcy do AWS Certificate Manager (ACM) w celu wykorzystania ich przez publiczne strony internetowe. Zespół bezpieczeństwa musi otrzymywać powiadomienie 90 dni przed wygaśnięciem dowolnego zaimportowanego certyfikatu. Firma posiada już kolejkę Amazon SQS i temat Amazon SNS, do którego subskrybowany jest adres e-mail zespołu bezpieczeństwa. Które podejście zapewni wymagane powiadomienie 90 dni przed wygaśnięciem?

Prawidłowa odpowiedź to utworzenie reguły Amazon EventBridge dla typu zdarzenia ACM Certificate Approaching Expiration i ustawienie tematu SNS jako celu reguły. EventBridge natywnie integruje się z ACM i oferuje predefiniowany typ zdarzenia, który jest wyzwalany, gdy certyfikat ACM zbliża się do wygaśnięcia. To zdarzenie jest generowane 45 dni przed wygaśnięciem dla certyfikatów zarządzanych przez ACM i 30 dni przed wygaśnięciem dla certyfikatów importowanych. Chociaż pytanie wymaga 90 dni, jest to najbliższe natywne rozwiązanie, które można rozszerzyć. Pozostałe opcje są mniej efektywne: Funkcja AWS Lambda skanująca certyfikaty wymagałaby niestandardowej logiki i harmonogramu, co zwiększa złożoność i koszty utrzymania. Przepływ pracy AWS Step Functions wyzwalany przez CloudTrail dla zdarzeń wygaśnięcia certyfikatu nie jest odpowiedni, ponieważ CloudTrail rejestruje wywołania API, a nie zdarzenia zbliżającego się wygaśnięcia certyfikatu. Włączenie zarządzanej reguły AWS Config acm-certificate-expiration-check sprawdza zgodność certyfikatów, ale nie generuje powiadomienia z wyprzedzeniem 90 dni i wymaga dodatkowej konfiguracji EventBridge.