Une entreprise applique des politiques d'accès S3 strictes en utilisant des rôles IAM pour les équipes internes. L'entreprise doit être avertie lorsqu'un utilisateur enfreint la politique d'accès aux données, et chaque alerte doit inclure le nom d'utilisateur du contrevenant. Quelle solution répond à ces exigences ?

La bonne réponse est d'utiliser AWS CloudTrail pour suivre les événements au niveau des objets et les transférer vers Amazon CloudWatch pour les alarmes. CloudTrail enregistre les appels d'API et les actions au niveau des objets S3, y compris les tentatives d'accès non autorisées, et inclut l'identité de l'utilisateur. L'intégration avec CloudWatch Logs permet de filtrer ces événements et de déclencher des alarmes avec les détails nécessaires. Les règles AWS Config détectent la non-conformité des ressources, mais ne fournissent pas de détails sur les tentatives d'accès individuelles ni le nom d'utilisateur du contrevenant en temps réel. Les métriques Amazon CloudWatch ne suivent pas les événements d'accès individuels ni les noms d'utilisateur. Les journaux d'accès au serveur S3 enregistrent les requêtes d'accès, mais leur traitement pour identifier les violations de politique spécifiques et les noms d'utilisateur en temps réel est plus complexe et moins direct que CloudTrail pour cet usage.