O acesso público foi bloqueado em todos os buckets S3 corporativos. O administrador deseja uma notificação automatizada caso algum bucket se torne publicamente legível posteriormente. Qual é a maneira mais operacionalmente eficiente de realizar isso?

A regra gerenciada s3-bucket-public-read-prohibited do AWS Config é a maneira mais eficiente porque monitora continuamente as configurações de acesso público de todos os buckets S3 na conta. Se um bucket se tornar publicamente legível, o AWS Config detecta a não conformidade e pode enviar uma notificação para um tópico SNS configurado. Isso é automatizado e reativo, eliminando a necessidade de sondagem manual ou agendada. As outras opções são menos eficientes: Executar uma função Lambda em um agendamento ou um cron job requer que você crie e mantenha o código para verificar as configurações, além de incorrer em custos de execução mesmo quando não há alterações. Habilitar Notificações de Eventos do S3 em cada bucket não é a solução correta, pois as notificações de eventos do S3 são para eventos como criação/exclusão de objetos, e não para alterações nas configurações de acesso público do bucket.