Ein Sicherheitsingenieur muss eine WORM-Kontrolle (Write-Once-Read-Many) für Daten implementieren, die in Amazon S3-Buckets gespeichert sind, welche die Speicherklasse S3 Standard verwenden. Die Lösung muss verhindern, dass Objekte von Benutzern, einschließlich des Root-Benutzers, überschrieben oder gelöscht werden. Welcher Ansatz erfüllt diese Anforderungen?

Die korrekte Antwort ist die Erstellung neuer S3-Buckets mit aktiviertem S3 Object Lock im Compliance-Modus. Dieser Modus verhindert, dass Objekte für die Dauer der Aufbewahrungsfrist von einem Benutzer, einschließlich des Root-Benutzers, überschrieben oder gelöscht werden. Er bietet die strengste WORM-Kontrolle. S3 Glacier Vault Lock ist für S3 Glacier und S3 Glacier Deep Archive konzipiert, nicht für S3 Standard. Der Governance-Modus von S3 Object Lock verhindert zwar das Überschreiben oder Löschen von Objekten durch die meisten Benutzer, erlaubt aber privilegierten Benutzern (z. B. dem Root-Benutzer) mit speziellen Berechtigungen, die Aufbewahrungseinstellungen zu ändern oder die Sperre zu entfernen. Dies erfüllt nicht die Anforderung, dass auch der Root-Benutzer keine Objekte löschen oder überschreiben kann. Das Anwenden einer Legal Hold im Governance-Modus bietet ebenfalls nicht die Unveränderlichkeit, die der Compliance-Modus bietet, da die Legal Hold von Benutzern mit entsprechenden Berechtigungen entfernt werden kann.