Un projet CodeBuild télécharge des artefacts vers un compartiment S3 partagé. La section post_build du buildspec utilise --acl authenticated-read, et maintenant toute personne disposant d'un compte AWS peut télécharger les artefacts. Que doit faire l'ingénieur DevOps pour empêcher cela ?

L'option correcte est de supprimer --acl authenticated-read de la commande postbuild et de configurer une politique de compartiment S3. L'ACL authenticated-read accorde l'accès en lecture à tout utilisateur AWS authentifié, ce qui est la cause du problème. En supprimant cette ACL et en utilisant une politique de compartiment, l'ingénieur DevOps peut spécifier précisément quels comptes AWS ont accès, garantissant ainsi un contrôle d'accès granulaire et restreint. Les autres options sont incorrectes car : Utiliser --acl public-read rendrait les objets accessibles à tout le monde sur Internet, ce qui est encore moins sécurisé. Configurer une ACL par défaut pour le compartiment ne résoudrait pas le problème si les objets sont toujours téléchargés avec --acl authenticated-read. Les ACL d'objets priment sur les ACL de compartiments. Une politique de compartiment refusant l'accès au principal ne serait pas suffisante si les objets sont téléchargés avec une ACL qui accorde explicitement l'accès à authenticated-read, car les ACL d'objets peuvent outrepasser les politiques de refus de compartiment dans certains scénarios.