Das Unternehmen verwendet eine AWS Organizations-Organisation zur Verwaltung von Entwicklerkonten. Alle Daten müssen während der Übertragung verschlüsselt werden, aber mehrere S3-Buckets in Entwicklerkonten erlauben derzeit unverschlüsselte (Nicht-SSL) Anfragen. Ein DevOps-Ingenieur muss TLS (SSL) für Daten während der Übertragung für jeden bestehenden S3-Bucket in Konten der Organisation erzwingen. Welcher Ansatz erfüllt diese Anforderung?

Die korrekte Option nutzt AWS Config mit der verwalteten Regel s3-bucket-ssl-requests-only, um S3-Buckets zu identifizieren, die keine SSL-Anfragen erzwingen. Anschließend wird ein AWS Systems Manager Automation-Runbook verwendet, um eine Bucket-Richtlinie hinzuzufügen, die den Zugriff verweigert, wenn der Bedingungsschlüssel aws:SecureTransport auf false gesetzt ist. Dies erzwingt die Verwendung von TLS (SSL) für die Datenübertragung zu den S3-Buckets. Die Optionen mit AWS Network Firewall sind nicht geeignet, da sie den Datenverkehr auf Port 80 blockieren würden, was zwar unverschlüsselte HTTP-Anfragen verhindern würde, aber nicht spezifisch für S3-Anfragen ist und den gesamten HTTP-Verkehr beeinträchtigen könnte. Zudem ist AWS Network Firewall für den Netzwerkverkehr zuständig, nicht für die Durchsetzung von S3-Bucket-Richtlinien. Die letzte Option ist falsch, weil der Bedingungsschlüssel s3:x-amz-server-side-encryption-aws-kms-key-id für die serverseitige Verschlüsselung mit KMS relevant ist und nicht für die Durchsetzung von SSL/TLS für die Datenübertragung.