Ein Unternehmen betreibt Anwendungen über Hunderte von AWS-Produktionskonten in einer AWS Organization und nutzt AWS Backup zentral. Es soll sichergestellt werden, dass alle Backups auch dann widerstandsfähig bleiben, wenn privilegierte Anmeldeinformationen in einem der Produktionskonten kompromittiert werden. Welche Kombination von Maßnahmen erfüllt diese Anforderung? (Wählen Sie drei.)

Die Implementierung von Cross-Account-Backups in Nicht-Produktionskonten stellt sicher, dass Backups isoliert sind, falls ein Produktionskonto kompromittiert wird. Eine Service Control Policy (SCP), die Änderungen an Backup-Safes einschränkt, verhindert, dass kompromittierte Anmeldeinformationen Backup-Konfigurationen manipulieren können. AWS Backup Vault Lock im Compliance-Modus macht Backups unveränderlich und schützt sie vor Löschung oder Änderung. Die Implementierung des Least-Privilege-Zugriffs für IAM-Rollen reduziert das Risiko, dass ein Angreifer übermäßige Berechtigungen erhält. Das Konfigurieren von Cold-Tier-Speicher oder das Schreiben von Backups in S3-Buckets mit Object Lock bietet zwar Schutz, ist aber nicht die primäre Methode, um die Resilienz bei kompromittierten Anmeldeinformationen zu gewährleisten, da AWS Backup bereits über Vault Lock verfügt.