Ein Unternehmen speichert sensible Daten in einem Amazon S3-Bucket, der mit serverseitiger Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln (SSE-S3) verschlüsselt ist. Ein Sicherheitsingenieur muss jegliche Änderungen an den Objekten verhindern. Welche Lösung erfüllt diese Anforderung?

S3 Object Lock im Compliance-Modus verhindert, dass Objekte für einen festgelegten Zeitraum überschrieben oder gelöscht werden können, selbst vom Root-Benutzer. Die S3-Bucket-Versionierung ist erforderlich, damit Object Lock funktioniert, da sie jede Version eines Objekts beibehält. Eine S3-Bucket-Richtlinie kann zwar s3:DeleteObject und s3:PutObject verweigern, aber diese Richtlinie kann von einem Benutzer mit ausreichenden Berechtigungen geändert oder entfernt werden. Die Änderung der Verschlüsselung auf SSE-KMS schützt die Daten, verhindert aber nicht deren Änderung oder Löschung. MFA Delete schützt nur vor dem Löschen von Objekten, nicht vor dem Überschreiben, und kann auch deaktiviert werden.