Todos os buckets S3 devem ter a criptografia do lado do servidor habilitada usando AES-256 imediatamente após a criação, e os buckets existentes não criptografados devem ser colocados em conformidade. Qual solução impõe o AES-256 para novos buckets e corrige os buckets existentes?

A solução correta utiliza o AWS Config e o Systems Manager para uma abordagem abrangente. A regra gerenciada s3-bucket-server-side-encryption-enabled monitora a conformidade dos buckets S3. Ao configurá-la com o runbook de automação AWS-EnableS3BucketEncryption, o AWS Config pode remediar automaticamente buckets não conformes, garantindo que novos buckets sejam criptografados e que os existentes sejam corrigidos. A reavaliação manual garante a conformidade imediata dos buckets existentes. As outras opções são menos eficazes: Uma função Lambda invocada periodicamente pode corrigir buckets existentes, mas não impede a criação de novos buckets não criptografados. Uma função Lambda acionada pela criação de bucket pode definir a criptografia para novos buckets, mas não aborda os buckets existentes. Uma política do IAM pode impedir a criação de buckets não criptografados, mas não corrige buckets existentes e pode ser contornada se a política não for aplicada universalmente ou se usuários tiverem permissões elevadas.