Uma organização no AWS Organizations tem um bucket S3 em uma conta que está atualmente pública. Um engenheiro de segurança deve tornar o bucket privado e garantir que ele não possa ser tornado público no futuro. Qual solução atende a esses requisitos?

A opção correta é habilitar o S3 Block Public Access no bucket e criar um SCP para negar s3:PutPublicAccessBlock. Habilitar o S3 Block Public Access no nível do bucket (ou da conta) garante que o bucket se torne privado e permaneça assim, bloqueando o acesso público. O SCP que nega s3:PutPublicAccessBlock impede que qualquer entidade na OU desabilite essa configuração, garantindo que o bucket não possa ser tornado público novamente. As outras opções estão incorretas porque: Configurar KMS e negar s3:GetObject não impede que o bucket seja tornado público. Negar s3:GetObject não impede que o bucket seja tornado público; apenas restringe a leitura de objetos. Habilitar o S3 Object Lock não impede o acesso público ao bucket; ele protege os objetos contra exclusão ou modificação.