Una empresa utiliza reglas de AWS Config para identificar buckets de Amazon S3 que no cumplen con la política de protección de datos de la empresa. Los buckets están distribuidos en varias Regiones de AWS y varias cuentas de AWS dentro de una organización de AWS Organizations. La empresa necesita una solución para corregir los buckets no conformes existentes y cualquier bucket no conforme futuro. ¿Qué solución cumplirá estos requisitos?

La opción correcta aborda tanto la corrección de los buckets existentes como la prevención de futuros incumplimientos. Un agregador de AWS Config con agregación de datos de recursos en toda la organización es esencial para obtener una vista centralizada de la conformidad en todas las cuentas y Regiones, lo cual es un requisito clave. Una función de AWS Lambda activada por los hallazgos de AWS Config puede automatizar la corrección de los buckets no conformes, ya sean existentes o recién creados. Las opciones que sugieren SCPs (Service Control Policies) son incorrectas porque las SCPs solo pueden prevenir acciones que resultarían en incumplimiento; no pueden corregir recursos ya existentes o no conformes. Además, una SCP que deniegue la creación de buckets S3 no conformes no abordaría la corrección de los buckets ya existentes. Las opciones que limitan el alcance del agregador de AWS Config solo a las cuentas y Regiones "actualmente en uso" son insuficientes, ya que la empresa necesita una solución que cubra todas las Regiones y cuentas dentro de la organización para una gestión de conformidad completa.