Una empresa necesita almacenar datos en Amazon S3 y debe evitar que los datos se modifiquen. Los nuevos objetos cargados en S3 deben permanecer inmutables por un período indefinido hasta que la empresa decida modificarlos. Solo usuarios específicos en la cuenta de AWS deberían poder eliminar los objetos. ¿Qué debe hacer un arquitecto de soluciones para cumplir con estos requisitos?

La opción correcta es la única que cumple con todos los requisitos. S3 Object Lock con retención legal (legal hold) permite que los objetos permanezcan inmutables indefinidamente hasta que se elimine la retención legal. Habilitar el versionado asegura que, aunque se elimine la retención legal, las versiones anteriores del objeto se conserven. El permiso s3:PutObjectLegalHold es necesario para que usuarios específicos puedan gestionar la retención legal, lo que les permitiría efectivamente "eliminar" la inmutabilidad para luego eliminar el objeto. Las otras opciones son incorrectas: S3 Glacier es para archivado a largo plazo, no para acceso frecuente y no ofrece la inmutabilidad granular requerida con control de eliminación específico. Un período de retención de 100 años con modo de gobernanza es una duración fija y no "indefinida hasta que la empresa decida modificarlo", y el modo de gobernanza puede ser anulado por usuarios con permisos específicos. Usar CloudTrail para restaurar desde copias de seguridad es un enfoque reactivo y no evita la modificación inicial de los datos, lo que incumple el requisito de inmutabilidad.