Tous les buckets S3 doivent avoir le chiffrement côté serveur activé à l'aide d'AES-256 immédiatement après leur création, et les buckets non chiffrés existants doivent être mis en conformité. Quelle solution applique AES-256 pour les nouveaux buckets et remédie aux buckets existants ?

La bonne réponse est de configurer et d'activer la règle gérée AWS Config s3-bucket-server-side-encryption-enabled avec le runbook d'automatisation Systems Manager AWS-EnableS3BucketEncryption comme action de remédiation. Cette solution est idéale car AWS Config surveille en continu la conformité des buckets S3 et peut automatiquement remédier aux non-conformités en activant le chiffrement AES-256 pour les buckets existants et nouveaux. La réévaluation manuelle garantit que tous les buckets existants sont mis en conformité. Les autres options sont moins efficaces ou incomplètes : Une fonction Lambda invoquée périodiquement peut remédier aux buckets existants, mais ne garantit pas une conformité immédiate à la création. Une fonction Lambda déclenchée par la création de buckets ne gère que les nouveaux buckets et ne remédie pas aux buckets existants. Une politique IAM peut empêcher la création de buckets non chiffrés, mais ne remédie pas aux buckets existants et ne garantit pas que le chiffrement AES-256 est toujours appliqué si les utilisateurs contournent la politique ou si les buckets sont créés par d'autres moyens.