Ein Unternehmen speichert Sicherungsdateien in einem Amazon S3-Bucket und verlangt, dass diese Sicherungen nach ihrer Erstellung mindestens 90 Tage lang nicht entfernt werden können. Was sollte ein SysOps-Administrator implementieren, um diese Anforderung zu erfüllen?

Die korrekte Antwort ist, S3 Object Lock im Compliance-Modus mit einer Aufbewahrungsfrist von 90 Tagen zu aktivieren. Im Compliance-Modus können Objekte für die angegebene Dauer nicht gelöscht oder überschrieben werden, selbst nicht vom Root-Benutzer, was die Anforderung erfüllt, dass die Backups mindestens 90 Tage lang nicht entfernt werden können. Eine IAM-Richtlinie zu erstellen, die s3:DeleteObject blockiert, ist nicht ausreichend, da diese Richtlinie von einem Benutzer mit entsprechenden Berechtigungen geändert oder entfernt werden könnte. S3 Versioning schützt Objekte vor versehentlichem Löschen, aber nicht vor absichtlichem Löschen aller Versionen. Der Governance-Modus von S3 Object Lock erlaubt es bestimmten Benutzern mit speziellen Berechtigungen, die Aufbewahrungseinstellungen zu ändern oder Objekte zu löschen, was nicht die Anforderung erfüllt, dass die Backups mindestens 90 Tage lang nicht entfernt werden können.