En utilisant AWS Control Tower et CloudFormation, l'entreprise exige que chaque compartiment S3 créé par CloudFormation dans l'environnement multi-comptes soit chiffré avec des clés AWS KMS. Quelle approche permet d'appliquer cette exigence ?

L'approche correcte consiste à utiliser les contrôles proactifs d'AWS Control Tower avec des hooks CloudFormation. Ces contrôles interceptent les opérations CloudFormation avant qu'elles ne soient exécutées, permettant de valider la conformité des ressources. Si un modèle CloudFormation tente de créer un compartiment S3 sans chiffrement KMS, le hook proactif empêchera la création, garantissant ainsi le respect de la politique de l'entreprise. Les autres options sont moins efficaces ou inappropriées pour cette exigence : Une SCP AWS Organizations refusant s3:PutObject si x-amz-server-side-encryption n'est pas présent empêcherait l'écriture d'objets non chiffrés, mais ne garantirait pas que le compartiment lui-même soit configuré pour le chiffrement KMS par défaut lors de sa création via CloudFormation. Les contrôles détectives d'AWS Control Tower signalent les non-conformités après qu'elles se soient produites, ce qui ne répond pas à l'exigence d'empêcher la création de compartiments non conformes. Une règle AWS Config organisationnelle vérifierait la conformité après la création du compartiment et nécessiterait des actions correctives, plutôt que de prévenir la non-conformité.