L'équipe SecOps doit recevoir une notification par e-mail SNS si un compte membre de l'organisation désactive le blocage de l'accès public S3 au niveau du compartiment. La solution ne doit pas dépendre de modifications dans les comptes membres et doit empêcher les comptes membres de désactiver la notification. Quelle solution répond à ces exigences ?

La bonne réponse est d'activer AWS Config à l'échelle de l'organisation. AWS Config permet de surveiller les modifications de configuration des ressources et d'évaluer la conformité. En utilisant un pack de conformité avec la règle gérée s3-bucket-level-public-access-prohibited, vous pouvez détecter la désactivation du blocage d'accès public S3. L'intégration avec un document SSM permet d'envoyer des notifications à la rubrique SNS centralisée dans le compte administrateur délégué, sans nécessiter de modifications directes dans les comptes membres et en empêchant leur désactivation. Les autres options sont incorrectes car : GuardDuty ne détecte pas spécifiquement la désactivation du blocage d'accès public S3 au niveau du compartiment. Un CloudFormation StackSet nécessiterait des permissions pour déployer des ressources dans les comptes membres, ce qui pourrait être contourné ou désactivé par ces comptes. Amazon Inspector est axé sur la détection des vulnérabilités et ne surveille pas directement les modifications de configuration S3 de cette manière.