Twoja organizacja importuje certyfikaty SSL/TLS od zewnętrznego dostawcy do AWS Certificate Manager (ACM), aby używać ich z publicznymi aplikacjami internetowymi. Musisz powiadomić zespół bezpieczeństwa 90 dni przed wygaśnięciem każdego zaimportowanego certyfikatu. Zespół bezpieczeństwa subskrybuje istniejący temat Amazon SNS i istnieje już kolejka SQS. Które rozwiązanie niezawodnie powiadomi zespół bezpieczeństwa 90 dni przed wygaśnięciem?

Prawidłowa odpowiedź wykorzystuje AWS Config do monitorowania certyfikatów ACM. Zarządzana reguła acm-certificate-expiration-check jest zaprojektowana do identyfikowania certyfikatów wygasających w ciągu określonej liczby dni (domyślnie 90). Po włączeniu tej reguły, AWS Config ocenia zgodność certyfikatów. Zdarzenia zmiany zgodności generowane przez AWS Config mogą być przechwytywane przez Amazon EventBridge. Reguła EventBridge może następnie wysłać powiadomienie do istniejącego tematu SNS, który jest subskrybowany przez zespół bezpieczeństwa, zapewniając niezawodne powiadomienie 90 dni przed wygaśnięciem. Pozostałe opcje są mniej efektywne lub nie spełniają wszystkich wymagań: EventBridge dla typu zdarzenia ACM Certificate Approaching Expiration nie istnieje dla certyfikatów importowanych. Funkcja Lambda skanująca certyfikaty wymagałaby niestandardowej logiki i planowania, co jest bardziej złożone niż użycie AWS Config. Przepływ pracy Step Functions wyzwalany przez CloudTrail nie jest odpowiedni, ponieważ CloudTrail rejestruje wywołania API, a nie zdarzenia zbliżającego się wygaśnięcia certyfikatu.