Une entreprise doit stocker des données dans Amazon S3 et doit empêcher que ces données ne soient modifiées. Les nouveaux objets téléchargés vers S3 doivent rester immuables pendant une période indéterminée jusqu'à ce que l'entreprise choisisse de les modifier. Seuls des utilisateurs spécifiques du compte AWS doivent pouvoir supprimer les objets. Que doit faire un architecte de solutions pour répondre à ces exigences ?

La bonne réponse est de créer un compartiment S3 avec S3 Object Lock activé, d'activer le versionnement, d'ajouter une conservation légale (legal hold) aux objets et d'ajouter la permission s3:PutObjectLegalHold aux politiques IAM des utilisateurs autorisés à supprimer les objets. S3 Object Lock avec une conservation légale empêche la suppression ou la modification d'un objet tant que la conservation légale n'est pas explicitement levée par un utilisateur disposant des permissions appropriées (s3:PutObjectLegalHold). Le versionnement garantit que toutes les versions d'un objet sont conservées. Les autres options sont incorrectes car : S3 Glacier Vault Lock est conçu pour l'archivage à long terme et n'est pas la solution la plus flexible pour des modifications ultérieures par des utilisateurs spécifiques. Définir une période de rétention de 100 ans en mode gouvernance permettrait à certains utilisateurs de modifier ou de supprimer les objets, ce qui contredit l'exigence d'immuabilité jusqu'à une action spécifique. Utiliser AWS CloudTrail pour restaurer des objets est une approche réactive et ne garantit pas l'immuabilité des données en temps réel, nécessitant des processus de restauration complexes.