La politique de l'entreprise interdit désormais que les données S3 du compte soient accessibles publiquement. Quelle action un administrateur SysOps doit-il entreprendre pour appliquer cette exigence à l'ensemble du compte ?

L'activation de S3 Block Public Access au niveau du compte est la méthode la plus efficace et la plus complète pour garantir qu'aucune donnée S3 ne soit accessible publiquement. Cette fonctionnalité offre des contrôles qui peuvent bloquer l'accès public pour tous les buckets et objets, même s'ils ont des politiques ou des ACL qui autoriseraient le public. Créer une règle Amazon EventBridge pour imposer que tous les objets S3 soient privés ne serait pas suffisant, car EventBridge ne peut pas modifier les ACL d'objets existants ni empêcher la création de nouveaux objets publics. Exécuter Amazon Inspector localiserait les buckets publics, mais ne réinitialiserait pas automatiquement leurs ACL de manière persistante pour l'ensemble du compte. Utiliser S3 Object Lambda pour inspecter et convertir les ACL d'objets serait une solution complexe et réactive, plutôt qu'une mesure préventive et proactive au niveau du compte.