Uma empresa mantém arquivos de backup em um bucket do Amazon S3 e exige que esses backups não possam ser removidos por pelo menos 90 dias após a criação. O que um administrador SysOps deve implementar para satisfazer essa restrição?

A resposta correta é habilitar o S3 Object Lock em um bucket S3 recém-criado no modo de conformidade com um período de retenção de 90 dias. O S3 Object Lock no modo de conformidade impede que qualquer usuário, incluindo o usuário root da conta, exclua ou sobrescreva um objeto até que o período de retenção expire, garantindo a imutabilidade dos backups por 90 dias. A criação de uma política do IAM que bloqueia a ação s3:DeleteObject não é suficiente, pois a política pode ser alterada ou removida, e o usuário root sempre pode sobrescrevê-la. Habilitar o S3 Versioning protege contra exclusões acidentais, mas não impede a exclusão intencional após um período. O S3 Object Lock no modo de governança permite que usuários com permissões específicas removam retenções de objetos ou excluam objetos, o que não atende ao requisito de que os backups não possam ser removidos.