MoyenneChoix unique

Question d'entraînement CLF-C02

Une entreprise possède 50 utilisateurs IAM dans un seul compte AWS. La politique de sécurité exige que chaque utilisateur IAM dispose d'un appareil MFA virtuel activé pour l'accès à AWS Management Console. L'entreprise souhaite détecter automatiquement tout utilisateur qui désactive ou a un appareil MFA inactif et révoquer immédiatement la capacité de cet utilisateur à accéder aux ressources AWS en désactivant ses clés d'accès. La solution doit être entièrement gérée, ne nécessiter aucun script personnalisé et utiliser des services AWS natifs. Quel service AWS l'entreprise doit-elle utiliser pour définir la règle de conformité et déclencher automatiquement l'action de remédiation ?

Choisissez la meilleure réponse.

Bonne réponse

AAWS Config

Explication

AWS Config est le service approprié car il fournit des règles gérées (telles que la règle gérée `iam-user-mfa-enabled`) qui évaluent en continu les configurations des utilisateurs IAM par rapport aux politiques de conformité. Lorsqu'un utilisateur désactive ou possède un appareil MFA virtuel inactif, AWS Config peut détecter le ressource non conforme et déclencher automatiquement une action de remédiation via AWS Systems Manager Automation, ce qui permet de désactiver les clés d'accès de l'utilisateur sans aucun script personnalisé.

Pourquoi chaque option est juste ou fausse

Juste

AWS Config

Les règles gérées d'AWS Config, telles que 'iam-user-mfa-enabled' et 'mfa-enabled-for-iam-console-access', marquent continuellement les utilisateurs IAM sans MFA actif comme non conformes. Chaque règle peut comporter une action de remédiation, un runbook AWS Systems Manager Automation exécuté automatiquement ou après approbation, tel que la désactivation des clés d'accès de l'utilisateur. Tout est géré, sans code personnalisé, et l'historique de conformité est enregistré pour les audits.

Fausse

AWS Shield

AWS Shield est un service de protection DDoS géré qui défend les applications contre les attaques de la couche réseau et transport, telles que les inondations UDP et les attaques par réflexion. Il fonctionne en périphérie du réseau AWS et, même avec Shield Advanced, s'intègre avec AWS WAF pour la protection de la couche application — jamais avec IAM. Shield n'a aucune visibilité sur les configurations des utilisateurs IAM, l'état des appareils MFA ou les politiques d'identité, et ne peut pas évaluer les règles de conformité ni déclencher des actions de remédiation telles que la désactivation des clés d'accès. Par conséquent, il n'a aucun rapport avec l'application de la conformité MFA pour les utilisateurs IAM.

Fausse

AWS CloudTrail

AWS CloudTrail est un service d'audit qui enregistre les appels API effectués dans votre compte AWS, produisant un historique détaillé des événements pour la gouvernance, la conformité et le dépannage opérationnel. Bien que les journaux CloudTrail puissent inclure des informations sur la réalisation ou non d'un appel authentifié par MFA, il n'évalue pas l'état de configuration actuel des ressources par rapport aux règles de conformité et ne dispose d'aucun mécanisme pour remédier automatiquement aux ressources non conformes. CloudTrail est un collecteur de journaux passif et ne peut pas désactiver les clés d'accès, modifier les politiques IAM ou appliquer les paramètres MFA. Il ne répond donc pas à l'exigence de vérification de conformité et de remédiation automatisées.

Fausse

AWS WAF

AWS WAF est un pare-feu d'applications web qui filtre et surveille le trafic HTTP/HTTPS destiné à vos applications web, en utilisant des règles pour bloquer les attaques telles que l'injection SQL, le cross-site scripting et les requêtes surdimensionnées. Il fonctionne exclusivement au niveau de la couche application du trafic réseau et ne possède aucune capacité à lire ou modifier les attributs des utilisateurs IAM, tels que l'enregistrement de l'appareil MFA ou l'état de la clé d'accès. WAF n'évalue pas les configurations des ressources AWS et ne peut pas déclencher d'actions de remédiation sur les ressources IAM. Par conséquent, il ne peut pas appliquer les politiques MFA des utilisateurs IAM et ne constitue pas un candidat pour ce cas d'utilisation.

Pour aller plus loin

Les exigences — une règle de conformité, une détection continue, une remédiation automatique, entièrement gérée sans scripts personnalisés — décrivent les règles gérées d'AWS Config combinées à sa fonction de remédiation. Config enregistre la configuration des ressources prises en charge, y compris les utilisateurs IAM, et les évalue par rapport à des règles. Les règles gérées 'iam-user-mfa-enabled' et 'mfa-enabled-for-iam-console-access' marquent les utilisateurs IAM sans appareil MFA actif comme non conformes. Chaque règle Config peut être associée à une action de remédiation : un document AWS Systems Manager Automation, fourni par AWS ou personnalisé, qui s'exécute automatiquement ou après approbation lorsqu'une ressource devient non conforme, avec des paramètres tels que le nom d'utilisateur transmis par le résultat de l'évaluation. AWS fournit des runbooks Automation pour les tâches IAM, telles que la révocation ou la désactivation de clés d'accès, de sorte que l'ensemble de la réponse peut être construit à partir de composants gérés. C'est l'option A. La remédiation doit être testée avec soin car elle agit sur de vrais utilisateurs, par exemple en l'exécutant d'abord manuellement, et en ajoutant des nouvelles tentatives et des notifications via Amazon EventBridge ou SNS. Les distracteurs ne sont pas pertinents ou sont incomplets. AWS Shield protège contre les attaques DDoS. AWS WAF filtre les requêtes HTTP vers les applications web. AWS CloudTrail enregistre les appels API, y compris la désactivation de l'appareil MFA, il s'agit donc d'une source précieuse de preuves, et les règles EventBridge sur les événements CloudTrail pourraient déclencher des actions, mais CloudTrail ne définit pas de règles de conformité ni de remédiation par lui-même. En tant que bonne pratique plus générale, envisagez de faire passer les personnes des utilisateurs IAM à AWS IAM Identity Center avec MFA appliqué de manière centralisée, et d'exiger MFA par le biais de conditions de politique IAM telles que aws:MultiFactorAuthPresent, afin que l'accès sans MFA soit refusé par conception plutôt que corrigé par la suite.

À propos de ces questions d'entraînement

Cette question fait partie des questions d'entraînement CLF-C02 originales de Courseiva, rédigées pour apprendre et jamais copiées d'examens réels ou de dumps.

Traduite de l'original anglais avec l'IA et vérifiée pour le sens. Les codes d'examen, les commandes et les noms de produits sont conservés tels qu'ils apparaissent à l'examen.