Eine Organisation in AWS Organizations hat einen Amazon S3-Bucket in einem Konto, der derzeit öffentlich ist. Ein Sicherheitsingenieur muss den Bucket privat machen und sicherstellen, dass er in Zukunft nicht mehr öffentlich gemacht werden kann. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung besteht darin, S3 Block Public Access für den Bucket zu aktivieren, um ihn sofort privat zu machen. Anschließend wird eine Service Control Policy (SCP) erstellt, um die Berechtigung s3:PutPublicAccessBlock für die Organisationseinheit (OU) zu verweigern, die das Konto enthält. Dies verhindert, dass jemand in Zukunft die Block Public Access-Einstellungen deaktiviert und den Bucket wieder öffentlich macht. Die Option mit AWS KMS und s3:GetObject ist falsch, da KMS die Verschlüsselung betrifft, nicht die öffentliche Zugänglichkeit, und s3:GetObject den Zugriff auf Objekte, nicht die Konfiguration der öffentlichen Zugänglichkeit, steuert. Die Option, die s3:GetObject in der SCP verweigert, ist ebenfalls falsch, da dies den Zugriff auf Objekte blockieren würde, aber nicht verhindert, dass der Bucket öffentlich gemacht wird. S3 Object Lock ist für die Unveränderlichkeit von Objekten gedacht, nicht für die Kontrolle der öffentlichen Zugänglichkeit.