Ein Unternehmen verwendet AWS Control Tower und CloudFormation und verlangt, dass jeder S3-Bucket, der von CloudFormation in der Multi-Konto-Umgebung erstellt wird, mit AWS KMS-Schlüsseln verschlüsselt werden muss. Welcher Ansatz erzwingt diese Anforderung?

Die korrekte Antwort ist die Verwendung von proaktiven AWS Control Tower-Kontrollen mit CloudFormation-Hooks. Proaktive Kontrollen verhindern, dass nicht-konforme Ressourcen bereitgestellt werden, indem sie CloudFormation-Bereitstellungen überprüfen, bevor sie ausgeführt werden. Dies stellt sicher, dass jeder S3-Bucket, der über CloudFormation erstellt wird, die KMS-Verschlüsselungsanforderung erfüllt. Die Option, eine SCP zu verwenden, die s3:PutObject verweigert, ist unzureichend, da sie nur das Hochladen von Objekten ohne SSE-KMS verhindert, nicht aber die Erstellung des Buckets selbst ohne Standard-KMS-Verschlüsselung. Detektive AWS Control Tower-Kontrollen würden die Nicht-Konformität erst nach der Bereitstellung erkennen, was nicht die Anforderung "erzwingt", sondern nur meldet. Eine AWS Config-Organisationsregel ist ebenfalls detektiv und würde die Erstellung nicht-konformer Buckets nicht verhindern, sondern nur nach der Bereitstellung melden. Die SCP zum Verhindern des Beendens von AWS Config ist eine gute Praxis, löst aber nicht das primäre Problem der Erzwingung.