Un administrateur SysOps doit s'assurer que chaque compartiment Amazon S3 actuel et futur du compte a la journalisation des accès au serveur activée. Si un compartiment est trouvé sans journalisation, un processus automatisé doit activer la journalisation sur ce compartiment. Quelle solution répond à cette exigence ?

La bonne réponse est d'utiliser la règle gérée AWS Config s3-bucket-logging-enabled avec une action de remédiation qui exécute le runbook AWS Systems Manager Automation AWS-ConfigureS3BucketLogging. Cette approche permet de détecter automatiquement les compartiments S3 sans journalisation activée et de corriger le problème de manière automatisée. AWS Config surveille la conformité des ressources, et le runbook Systems Manager fournit une méthode standardisée et fiable pour activer la journalisation. Les autres options sont incorrectes car : AWS Trusted Advisor peut identifier les compartiments sans journalisation, mais il n'offre pas de fonctionnalité intégrée pour activer automatiquement la journalisation. Une politique de compartiment S3 ne peut pas imposer l'activation de la journalisation ; elle contrôle les autorisations d'accès, pas la configuration des fonctionnalités. L'invocation directe d'une fonction Lambda via une remédiation AWS Config est possible, mais l'utilisation du runbook Systems Manager AWS-ConfigureS3BucketLogging est une solution plus robuste et prête à l'emploi pour cette tâche spécifique, réduisant la nécessité de développer et de maintenir un code Lambda personnalisé.