A empresa usa uma organização AWS Organizations para gerenciar contas de desenvolvedores. Todos os dados devem ser criptografados em trânsito, mas vários buckets S3 em contas de desenvolvedores atualmente permitem solicitações não criptografadas (não-SSL). Um engenheiro de DevOps deve impor TLS (SSL) para dados em trânsito para cada bucket S3 existente nas contas da organização. Qual abordagem satisfaz esse requisito?

A opção correta atende ao requisito de impor TLS (SSL) para dados em trânsito para buckets S3. Habilitar o AWS Config para a organização e implantar um conformance pack com a regra gerenciada s3-bucket-ssl-requests-only permite monitorar buckets que não impõem SSL. O runbook do AWS Systems Manager Automation pode então remediar automaticamente, adicionando uma política de bucket que nega acesso quando aws:SecureTransport for falso, garantindo que apenas solicitações HTTPS sejam permitidas. As opções que envolvem o AWS Network Firewall estão incorretas porque o Network Firewall opera no nível da rede e não pode impor políticas de criptografia específicas para solicitações S3 em trânsito. Bloquear a porta 80 (HTTP) não garante que as solicitações S3 usem SSL, pois as solicitações S3 são feitas na porta 443 (HTTPS) e a política de bucket é necessária para impor o uso de SSL. A opção incorreta que usa a chave de condição s3:x-amz-server-side-encryption-aws-kms-key-id está errada porque essa chave de condição está relacionada à criptografia em repouso (server-side encryption com KMS), não à criptografia em trânsito (SSL/TLS).