Pregunta de práctica de CLF-C02

Una empresa tiene 50 usuarios IAM en una sola cuenta de AWS. La política de seguridad requiere que cada usuario IAM tenga habilitado un dispositivo MFA virtual para el acceso a AWS Management Console. La empresa desea detectar automáticamente cualquier usuario que desactive o tenga un dispositivo MFA inactivo y revocar inmediatamente la capacidad de ese usuario para acceder a los recursos de AWS deshabilitando sus claves de acceso. La solución debe estar completamente administrada, no requerir scripts personalizados y utilizar servicios nativos de AWS. ¿Qué servicio de AWS debe utilizar la empresa para definir la regla de cumplimiento y activar automáticamente la acción de corrección?

Elige la mejor respuesta.

Respuesta correcta

AAWS Config

Explicación

AWS Config es el servicio correcto porque proporciona reglas administradas (como la regla administrada `iam-user-mfa-enabled`) que evalúan continuamente las configuraciones de los usuarios IAM frente a las políticas de cumplimiento. Cuando un usuario desactiva o tiene un dispositivo MFA virtual inactivo, AWS Config puede detectar el recurso no conforme y activar automáticamente una acción de corrección a través de AWS Systems Manager Automation, la cual puede deshabilitar las claves de acceso del usuario sin necesidad de scripts personalizados.

Por qué cada opción es correcta o incorrecta

Correcta

AWS Config

Las reglas administradas de AWS Config, como 'iam-user-mfa-enabled' y 'mfa-enabled-for-iam-console-access', marcan continuamente a los usuarios IAM sin MFA activo como no conformes. Cada regla puede tener una acción de corrección, un runbook de AWS Systems Manager Automation que se ejecuta automáticamente o tras su aprobación, como la desactivación de las claves de acceso del usuario. Todo está administrado, sin código personalizado, y el historial de cumplimiento se registra para auditorías.

Incorrecta

AWS Shield

AWS Shield es un servicio de protección DDoS administrado que defiende las aplicaciones contra ataques de capa de red y de transporte, como inundaciones UDP y ataques de reflexión. Opera en el borde de la red de AWS e incluso con Shield Advanced se integra con AWS WAF para la protección de la capa de aplicación, pero nunca con IAM. Shield no tiene visibilidad de las configuraciones de los usuarios IAM, el estado del dispositivo MFA o las políticas de identidad, y no puede evaluar reglas de cumplimiento ni activar acciones de corrección como deshabilitar claves de acceso. Por lo tanto, es completamente ajeno a la aplicación del cumplimiento de MFA en los usuarios IAM.

Incorrecta

AWS CloudTrail

AWS CloudTrail es un servicio de auditoría que registra las llamadas a la API realizadas en su cuenta de AWS, produciendo un historial de eventos detallado para la gobernanza, el cumplimiento y la solución de problemas operativos. Si bien los registros de CloudTrail pueden incluir información sobre si se realizó una llamada autenticada por MFA, no evalúa el estado de configuración actual de los recursos frente a las reglas de cumplimiento, ni cuenta con ningún mecanismo para corregir automáticamente los recursos no conformes. CloudTrail es un recopilador de registros pasivo y no puede deshabilitar claves de acceso, modificar políticas de IAM ni aplicar la configuración de MFA. Por lo tanto, incumple el requisito de verificación automatizada de cumplimiento y corrección.

Incorrecta

AWS WAF

AWS WAF es un firewall de aplicaciones web que filtra y monitorea el tráfico HTTP/HTTPS destinado a sus aplicaciones web, utilizando reglas para bloquear ataques como inyección SQL, cross-site scripting y solicitudes sobredimensionadas. Opera exclusivamente en la capa de aplicación del tráfico de red y no tiene capacidad para leer o modificar atributos de usuarios IAM, como el registro de dispositivos MFA o el estado de las claves de acceso. WAF no evalúa configuraciones de recursos de AWS y no puede activar acciones de corrección en recursos de IAM. En consecuencia, no puede aplicar políticas de MFA de usuarios IAM y no es un candidato para este caso de uso.

Para profundizar

Los requisitos —una regla de cumplimiento, detección continua, corrección automática y administración completa sin scripts personalizados— describen las reglas administradas de AWS Config combinadas con su función de corrección. Config registra la configuración de los recursos compatibles, incluidos los usuarios IAM, y los evalúa frente a las reglas. Las reglas administradas 'iam-user-mfa-enabled' y 'mfa-enabled-for-iam-console-access' marcan a los usuarios IAM sin un dispositivo MFA activo como no conformes. Cada regla de Config puede tener una acción de corrección: un documento de AWS Systems Manager Automation, ya sea proporcionado por AWS o propio, que se ejecuta automáticamente o previa aprobación cuando un recurso deja de cumplir las normas, pasando parámetros como el nombre de usuario obtenido del resultado de la evaluación. AWS proporciona runbooks de Automation para tareas de IAM, como revocar o desactivar claves de acceso, de modo que toda la respuesta se puede construir a partir de componentes administrados. Esa es la opción A. La corrección debe probarse cuidadosamente porque actúa sobre usuarios reales, por ejemplo ejecutándola primero manualmente y añadiendo reintentos y notificaciones a través de Amazon EventBridge o SNS. Los distractores no están relacionados o están incompletos. AWS Shield protege contra ataques DDoS. AWS WAF filtra las solicitudes HTTP a las aplicaciones web. AWS CloudTrail registra las llamadas a la API, incluida la desactivación del dispositivo MFA, por lo que es una fuente valiosa de evidencia, y las reglas de EventBridge en los eventos de CloudTrail podrían activar acciones, por sí solo CloudTrail no define reglas de cumplimiento ni correcciones. Como práctica recomendada más amplia, considere migrar a los usuarios de IAM a AWS IAM Identity Center con MFA aplicado centralmente, y exigir MFA a través de condiciones de políticas de IAM como aws:MultiFactorAuthPresent, para que el acceso sin MFA se deniegue por diseño en lugar de corregirse posteriormente.

Sobre estas preguntas de práctica

Esta es una de las preguntas de práctica originales de CLF-C02 de Courseiva, escrita para aprender y nunca copiada de exámenes reales ni de dumps.

Traducida del original en inglés con IA y revisada para comprobar el sentido. Los códigos de examen, los comandos y los nombres de productos se mantienen tal como aparecen en el examen.