Uma empresa de hospedagem de imagens armazena objetos em buckets do Amazon S3 e quer evitar exposição pública acidental. Todos os objetos do S3 na conta devem permanecer privados. Qual solução atende a esses requisitos?

A opção correta é usar o recurso S3 Block Public Access no nível da conta e uma SCP. O S3 Block Public Access é a maneira mais eficaz e abrangente de evitar exposição pública acidental, pois ele pode ser configurado para bloquear o acesso público a todos os buckets e objetos, independentemente de suas políticas individuais. Aplicar essa configuração no nível da conta garante que ela se aplique a todos os buckets existentes e futuros. Uma SCP do AWS Organizations impede que usuários do IAM, mesmo com permissões administrativas, desabilitem essa proteção, fornecendo uma camada adicional de segurança e conformidade. As outras opções são menos eficazes ou não atendem plenamente aos requisitos: GuardDuty monitora atividades e ameaças, mas não é a ferramenta principal para impor políticas de acesso público do S3. Trusted Advisor identifica buckets públicos, mas a remediação manual é reativa e não impede a exposição inicial. AWS Resource Access Manager (RAM) é para compartilhamento de recursos entre contas, não para controle de acesso público.