Uma empresa executa aplicações em centenas de contas AWS de produção em uma AWS Organization e usa o AWS Backup centralmente. Eles querem que todos os backups permaneçam resilientes mesmo que credenciais privilegiadas em qualquer conta de produção sejam comprometidas. Qual combinação de medidas atenderá a esse requisito? (Escolha três.)

Para garantir a resiliência dos backups mesmo com credenciais comprometidas, é crucial isolar e proteger os vaults de backup. Implementar backup entre contas, armazenando os vaults em contas não-produção, cria um isolamento lógico, dificultando que um comprometimento em uma conta de produção afete os backups. Adicionar uma Service Control Policy (SCP) que restrinja a modificação de vaults do AWS Backup em toda a organização impede ações destrutivas, mesmo por usuários com permissões elevadas em contas individuais. Finalmente, o AWS Backup Vault Lock no modo de conformidade impede que os backups sejam excluídos ou alterados por um período definido, e o acesso de privilégio mínimo para a função de serviço IAM do AWS Backup reduz a superfície de ataque. As opções incorretas não abordam a proteção contra credenciais comprometidas de forma abrangente. Configurar frequência e retenção não impede a exclusão maliciosa. Gravar backups em um bucket S3 com S3 Object Lock não é a forma primária de proteção para backups do AWS Backup; o Vault Lock é a solução nativa e mais robusta para isso.