所有 S3 存储桶在创建后必须立即启用 AES-256 服务器端加密，并且现有未加密的存储桶必须符合此要求。哪种解决方案可以强制新存储桶使用 AES-256 并修复现有存储桶？

正确答案是使用 AWS Config 托管规则 s3-bucket-server-side-encryption-enabled。此规则可以持续监控 S3 存储桶的加密状态，并能配置一个修复操作（例如 AWS-EnableS3BucketEncryption Systems Manager Automation 运行手册）来自动为不合规的存储桶启用 AES-256 加密。手动运行重新评估可以确保现有存储桶立即被检查和修复。 选项一的 Lambda 函数需要自行维护，且无法自动修复现有不合规存储桶。选项三的 Lambda 函数只能处理新创建的存储桶，无法解决现有存储桶的合规性问题。选项四的 IAM 策略只能阻止创建未加密的新存储桶，但无法强制现有未加密存储桶启用加密，也无法修复它们。因此，AWS Config 结合 Systems Manager Automation 是最全面和自动化的解决方案。