Una empresa debe evitar la eliminación permanente de datos críticos almacenados en Amazon S3 y replicar esos datos desde su región principal de AWS a una región secundaria para la recuperación ante desastres. Incluso los usuarios con acceso de administrador no deben poder eliminar datos permanentemente en la región secundaria. ¿Qué solución cumple con estos requisitos?

La opción correcta es habilitar S3 Object Lock en modo de cumplimiento en el bucket principal y configurar la replicación de S3. S3 Object Lock en modo de cumplimiento impide que cualquier usuario, incluido el usuario root de la cuenta, elimine o sobrescriba un objeto hasta que expire el período de retención. Cuando se replica un objeto bloqueado, el bloqueo también se replica en el objeto de destino, lo que garantiza que los datos no se puedan eliminar permanentemente en la región secundaria, incluso por administradores. Las otras opciones son incorrectas porque: AWS Backup para S3 no ofrece la misma garantía de inmutabilidad a nivel de objeto que S3 Object Lock para la replicación. AWS Backup Vault Lock en modo de gobernanza protege el almacén de copias de seguridad, pero no los objetos individuales replicados con S3. Una política de bucket que deniegue s3:ReplicateDelete solo impide la eliminación de marcadores de eliminación replicados, no la eliminación de los objetos subyacentes por un administrador. Habilitar el control de versiones de S3 en el bucket de destino permite recuperar versiones anteriores, pero no impide la eliminación permanente de todas las versiones de un objeto por parte de un usuario con permisos suficientes.