Uma empresa deve manter registros financeiros confidenciais no Amazon S3, e sua política proíbe que qualquer bucket S3 seja publicamente legível ou gravável. Um administrador SysOps precisa de uma solução que detecte e remova automaticamente as permissões do S3 que concedem acesso público de leitura ou gravação, com o mínimo esforço operacional contínuo. Qual serviço da AWS o administrador deve escolher para realizar isso da forma mais eficiente?

AWS Config é a escolha mais eficiente porque permite definir regras que avaliam continuamente a conformidade dos recursos da AWS. Você pode configurar uma regra do AWS Config para detectar buckets S3 que se tornam publicamente acessíveis e, em seguida, usar uma ação de remediação automática (como uma função Lambda) para remover as permissões públicas. Isso garante a conformidade com a política da empresa com o mínimo esforço operacional contínuo. AWS Security Hub agrega descobertas de segurança, mas não oferece remediação automática nativa para políticas de bucket S3. AWS Trusted Advisor fornece verificações de otimização e segurança, mas não executa remediação automática. Amazon Inspector é para análise de vulnerabilidades em instâncias EC2 e imagens de contêiner, não para permissões de bucket S3.