Une entreprise exige que tous les utilisateurs IAM disposent de l'authentification multifacteur (MFA) activée pour l'accès à AWS Management Console. L'équipe de sécurité a besoin d'un moyen automatisé de détecter en continu tout utilisateur IAM sans appareil MFA et de générer un rapport de conformité. La solution ne doit pas nécessiter de code personnalisé. Quel service AWS l'équipe doit-elle utiliser ?
Choisissez la meilleure réponse.
Bonne réponse
AWS Config est correct car il fournit une évaluation basée sur des règles gérées des configurations de ressources AWS. En activant la règle gérée « iam-user-mfa-enabled », AWS Config vérifie en continu tous les utilisateurs IAM pour s'assurer de la présence d'un appareil MFA et peut déclencher automatiquement des actions de remédiation ou générer des rapports de conformité via des agrégateurs AWS Config, le tout sans aucun code personnalisé.
AWS Config
AWS Config est le service approprié car il propose une règle gérée nommée iam-user-mfa-enabled, qui évalue chaque utilisateur IAM et renvoie un résultat de non-conformité si la MFA n'est pas activée. Config enregistre en continu les modifications apportées aux utilisateurs IAM et, lorsqu'il est associé à des packs de conformité, peut fournir des rapports de conformité automatisés et même déclencher des actions de remédiation. Cela répond à l'exigence sans nécessiter de code personnalisé.
IAM Access Analyzer
IAM Access Analyzer est conçu pour identifier les ressources, telles que les buckets S3, les rôles IAM ou les clés KMS, qui sont partagées avec des principaux externes en analysant les politiques basées sur les ressources. Il n'inspecte pas la configuration d'authentification des utilisateurs IAM, y compris si l'authentification multifacteur est activée. L'objectif d'Access Analyzer est d'identifier un accès externe non intentionnel, et non d'appliquer ou d'auditer les exigences de MFA pour les identités.
AWS Trusted Advisor
AWS Trusted Advisor comprend une vérification de sécurité intitulée « MFA on Root Account », qui vérifie uniquement que l'utilisateur racine du compte a activé la MFA. Il n'évalué pas l'état de la MFA pour les utilisateurs IAM individuels et ne fournit pas de rapports de conformité personnalisables ni d'alertes pour les configurations d'identité. Trusted Advisor est un tableau de bord de bonnes pratiques, et non un service de conformité de configuration continu à l'échelle du compte, il ne répond donc pas à cette exigence.
Amazon Inspector
Amazon Inspector est un service de gestion des vulnérabilités qui analyse en continu les instances Amazon EC2, les images de conteneurs dans Amazon ECR et les fonctions Lambda à la recherche de vulnérabilités logicielles et d'exposition réseau non intentionnelle. Il n'a aucune intégration avec la configuration d'identité IAM et ne peut pas lire ou évaluer les paramètres d'authentification au niveau de l'utilisateur tels que l'état de la MFA. Par conséquent, bien qu'Inspector soit utile pour la sécurité des charges de travail, ce n'est pas un mécanisme pour appliquer ou signaler la conformité de la MFA des utilisateurs IAM.
AWS Config enregistre en continu la configuration des ressources AWS prises en charge et l'évalue par rapport à des règles, signalant chaque ressource comme conforme ou non conforme. AWS fournit des centaines de règles gérées qui ne nécessitent aucun code, et deux traitent directement de la MFA : « iam-user-mfa-enabled » vérifie que chaque utilisateur IAM a activé la MFA, et « mfa-enabled-for-iam-console-access » vérifie les utilisateurs IAM qui possèdent un mot de passe de console. Une fois qu'une règle est activée, Config l'évalue lorsque les ressources IAM changent et, selon la règle, périodiquement ; le tableau de bord de conformité et la chronologie indiquent quels utilisateurs ne sont pas conformes et depuis quand. Les packs de conformité regroupent des règles dans des modèles de conformité packagés, tels que les meilleures pratiques opérationnelles pour le CIS, et l'agrégateur offre une vue multi-compte et multi-Region. Les résultats de non-conformité peuvent déclencher des notifications via Amazon EventBridge ou Amazon SNS, et une remédiation automatique via des documents Systems Manager Automation. C'est l'option A, et elle répond à toutes les exigences : détection automatisée et continue, rapport de conformité et aucun code personnalisé. Les distracteurs effectuent un travail connexe. IAM Access Analyzer identifie les ressources partagées en dehors de votre compte ou de votre organisation et l'accès inutilisé, et non l'état de la MFA. AWS Trusted Advisor comprend des vérifications MFA pour le compte racine et certaines vérifications IAM selon le plan de support, mais il s'agit d'un examen périodique des meilleures pratiques plutôt que d'un rapport de conformité continu basé sur des règles pour chaque utilisateur IAM. Amazon Inspector analyse les instances EC2, les images de conteneurs et les fonctions Lambda à la recherche de vulnérabilités logicielles et d'exposition réseau. Pour l'examen Cloud Practitioner, rappelez-vous qu'AWS Config sert à « suivre les modifications de configuration » et « évaluer la conformité par rapport à des règles », et qu'AWS Security Hub sert à agréger les conclusions des services de sécurité.
À propos de ces questions d'entraînement
Cette question fait partie des questions d'entraînement CLF-C02 originales de Courseiva, rédigées pour apprendre et jamais copiées d'examens réels ou de dumps.
Traduite de l'original anglais avec l'IA et vérifiée pour le sens. Les codes d'examen, les commandes et les noms de produits sont conservés tels qu'ils apparaissent à l'examen.