Una organización en AWS Organizations tiene un bucket de Amazon S3 en una cuenta que actualmente es público. Un ingeniero de seguridad debe hacer que el bucket sea privado y asegurar que no pueda hacerse público en el futuro. ¿Qué solución cumple con estos requisitos?

La opción correcta asegura la privacidad del bucket y evita que vuelva a ser público. Habilitar S3 Block Public Access a nivel de bucket o cuenta es el método principal para restringir el acceso público a S3. Luego, para asegurar que esta configuración no pueda ser revertida, un SCP (Service Control Policy) que deniegue s3:PutPublicAccessBlock en la Unidad Organizativa (OU) es crucial. Esto impide que cualquier entidad dentro de esa OU (incluyendo la cuenta raíz) deshabilite S3 Block Public Access, garantizando la persistencia de la configuración de privacidad. Las opciones incorrectas no cumplen con todos los requisitos: Usar KMS y denegar s3:GetObject no impide que el bucket sea público, solo restringe el acceso a objetos específicos. Denegar s3:GetObject no evita que el bucket sea público, solo controla la lectura de objetos. S3 Object Lock está diseñado para la retención de objetos y la inmutabilidad, no para controlar el acceso público.