Una empresa guarda archivos de respaldo en un bucket de Amazon S3 y requiere que esos respaldos no puedan eliminarse durante al menos 90 días después de su creación. ¿Qué debería implementar un administrador de SysOps para satisfacer esta restricción?

La opción correcta es habilitar S3 Object Lock en un bucket recién creado en modo de cumplimiento (compliance mode) con un período de retención de 90 días. El modo de cumplimiento impide que cualquier usuario, incluido el usuario root, elimine o sobrescriba un objeto hasta que expire el período de retención. Esto garantiza que los respaldos no puedan eliminarse durante los 90 días requeridos. La creación de una política de IAM que bloquee la acción s3:DeleteObject no es suficiente, ya que un usuario con permisos suficientes podría modificar o eliminar esa política. Habilitar S3 Versioning no protege los objetos de la eliminación, solo mantiene versiones anteriores. El modo de gobernanza de S3 Object Lock permite que los usuarios con permisos especiales de IAM anulen o eliminen bloqueos, lo que no cumple con el requisito de inmutabilidad estricta.