Команда безопасности использует ручную ротацию ключей AWS KMS и нуждается в уведомлениях, когда какие-либо клиентские ключи не ротировались более 90 дней. Какое решение позволит это реализовать?

Правильный ответ — разработать пользовательское правило AWS Config. AWS Config позволяет создавать пользовательские правила для оценки соответствия ресурсов AWS заданным требованиям. В данном случае можно создать правило, которое проверяет дату последней ротации ключей KMS и помечает их как несоответствующие, если ротация не проводилась более 90 дней. Затем AWS Config может отправлять уведомления в топик Amazon SNS о таких несоответствующих ресурсах. Остальные варианты не подходят: AWS KMS не имеет встроенной функции для автоматической публикации в SNS при отсутствии ротации ключей более 90 дней. AWS Trusted Advisor предоставляет рекомендации по безопасности, но не имеет прямого API для мониторинга ротации ключей KMS с заданным порогом и отправки уведомлений. AWS Security Hub агрегирует результаты безопасности, но для обнаружения этого конкретного сценария все равно потребуется источник данных, такой как AWS Config.