Uma empresa impõe políticas rigorosas de acesso ao S3 usando perfis do IAM para equipes internas. A empresa precisa ser notificada quando um usuário violar a política de acesso a dados, e cada alerta deve incluir o nome de usuário do infrator. Qual solução satisfaz esses requisitos?

A resposta correta é usar o AWS CloudTrail para rastrear eventos em nível de objeto e encaminhá-los para o Amazon CloudWatch. O CloudTrail registra chamadas de API e eventos de nível de objeto (como GetObject, PutObject) no S3, incluindo o nome de usuário do IAM que realizou a ação. Ao integrar com o CloudWatch Logs, é possível criar filtros de métricas para identificar tentativas de acesso que violam a política e configurar alarmes que notificam sobre essas violações, incluindo o nome de usuário. As regras do AWS Config são para avaliar a conformidade dos recursos com as políticas, não para detectar violações de acesso em tempo real com detalhes do usuário. Métricas do CloudWatch em nível de objeto não fornecem o nome de usuário. Logs de acesso ao servidor do S3 registram solicitações de acesso, mas não são tão detalhados quanto o CloudTrail para identificar violações de políticas de IAM e o usuário específico de forma tão granular.