Ein Unternehmen erzwingt strenge S3-Zugriffsrichtlinien mithilfe von IAM-Rollen für interne Teams. Das Unternehmen muss benachrichtigt werden, wenn ein Benutzer gegen die Datenzugriffsrichtlinie verstößt, und jede Warnung muss den Benutzernamen des Verstoßenden enthalten. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist die Verwendung von AWS CloudTrail. CloudTrail zeichnet API-Aufrufe und zugehörige Ereignisse auf, einschließlich des Benutzernamens, der eine Aktion ausgeführt hat. Durch die Aktivierung der Datenereignisprotokollierung für S3-Buckets in CloudTrail können Verstöße gegen Zugriffsrichtlinien auf Objektebene erfasst werden. Diese CloudTrail-Ereignisse können dann an Amazon CloudWatch Logs gesendet werden, wo Metrikfilter und Alarme konfiguriert werden können, um spezifische Verstöße zu erkennen und Benachrichtigungen mit dem Benutzernamen des Verursachers zu senden. AWS Config-Regeln können Compliance-Verstöße erkennen, liefern aber nicht standardmäßig den Benutzernamen des Verursachers bei Zugriffsverstößen auf Objektebene. Amazon CloudWatch-Metriken überwachen Leistungsdaten, aber keine detaillierten Benutzeraktionen. S3-Serverzugriffsprotokolle erfassen zwar Zugriffsdetails, die Integration mit CloudWatch Logs und die Extraktion des Benutzernamens für spezifische Richtlinienverstöße sind jedoch komplexer und weniger direkt als die Nutzung von CloudTrail für diesen Anwendungsfall.