Une entreprise d'hébergement d'images stocke des objets dans des buckets Amazon S3 et souhaite éviter toute exposition publique accidentelle. Tous les objets S3 du compte doivent rester privés. Quelle solution répond à ces exigences ?

La fonctionnalité S3 Block Public Access au niveau du compte est la solution la plus efficace et la plus robuste pour empêcher l'exposition publique accidentelle d'objets S3. Elle applique des restrictions à tous les buckets et objets S3 du compte, garantissant qu'aucun objet ne peut être rendu public, même par erreur. L'utilisation d'une politique de contrôle de service (SCP) via AWS Organizations renforce cette sécurité en empêchant les utilisateurs IAM de désactiver cette protection essentielle, assurant ainsi une conformité continue. Les autres options sont moins idéales : GuardDuty est un service de détection des menaces, pas un outil de prévention proactive des configurations. Bien qu'il puisse détecter des politiques de bucket publiques, la remédiation automatique via Lambda introduit une complexité et un délai potentiels. Trusted Advisor identifie les buckets publics mais ne fournit pas de mécanisme de prévention ou de correction automatique robuste et immédiat. La modification manuelle est sujette à l'erreur humaine. AWS Resource Access Manager (RAM) est utilisé pour partager des ressources AWS entre comptes, pas pour identifier les buckets S3 accessibles publiquement. L'approche proposée avec SNS et Lambda serait une solution réactive plutôt que proactive.