Alle S3-Buckets müssen sofort nach der Erstellung eine serverseitige Verschlüsselung mit AES-256 aktiviert haben, und bestehende unverschlüsselte Buckets müssen konform gemacht werden. Welche Lösung erzwingt AES-256 für neue Buckets und behebt bestehende Buckets?

Die AWS Config-Regel s3-bucket-server-side-encryption-enabled ist die effektivste Lösung, da sie sowohl die Überwachung als auch die automatische Behebung von S3-Buckets ermöglicht, die nicht AES-256-verschlüsselt sind. Durch die Verknüpfung mit dem Systems Manager Automation-Runbook AWS-EnableS3BucketEncryption können nicht-konforme Buckets automatisch korrigiert werden. Die manuelle Neubewertung stellt sicher, dass auch bestehende Buckets konform gemacht werden. Eine Lambda-Funktion, die regelmäßig scannt, ist weniger effizient und reaktiv statt proaktiv. Eine Lambda-Funktion, die auf Bucket-Erstellungsereignisse reagiert, deckt nur neue Buckets ab und nicht bestehende. Eine IAM-Richtlinie verhindert zwar die Erstellung unverschlüsselter Buckets, behebt aber keine bestehenden und ist komplexer zu verwalten für alle Benutzer.