Podczas gdy trwa przepisywanie aplikacji (12 miesięcy), firma potrzebuje zautomatyzowanego, niewymagającego dużego wysiłku operacyjnego sposobu na znajdowanie i rotowanie kluczy dostępu IAM, które mają co najmniej 30 dni, a następnie kontynuowanie rotacji kluczy co 30 dni. Które rozwiązanie zapewnia wymaganą automatyzację przy najmniejszym narzucie operacyjnym?

Prawidłowa odpowiedź wykorzystuje AWS Config do ciągłego monitorowania kluczy dostępu IAM i automatycznego uruchamiania runbooka AWS Systems Manager Automation w celu ich rotacji, gdy osiągną określony wiek. Jest to rozwiązanie o niskim narzucie operacyjnym, ponieważ AWS Config i Systems Manager są usługami zarządzanymi, które zapewniają wbudowaną automatyzację i nie wymagają utrzymania infrastruktury. AWS Trusted Advisor może identyfikować stare klucze, ale nie ma wbudowanej możliwości automatycznego wywoływania runbooków w celu ich rotacji. Niestandardowy skrypt na instancji EC2 wymagałby zarządzania instancją i skryptem, co zwiększa narzut operacyjny. Funkcja AWS Lambda wywoływana przez EventBridge jest dobrym rozwiązaniem do automatyzacji, ale wyzwalanie jej przy każdym utworzeniu klucza dostępu nie jest optymalne do rotacji kluczy co 30 dni; lepszym podejściem byłoby wyzwalanie jej w regularnych odstępach czasu lub w odpowiedzi na zdarzenia Config.