Une entreprise stocke des données sensibles dans un compartiment Amazon S3 chiffré avec le chiffrement côté serveur avec des clés gérées par Amazon S3 (SSE-S3). Un ingénieur de sécurité doit empêcher toute modification des objets. Quelle solution répond à cette exigence ?

La bonne réponse est d'activer S3 Object Lock en mode Conformité et d'activer le versionnement de compartiment S3. S3 Object Lock en mode Conformité empêche la suppression ou la modification d'un objet pendant une période définie, même par le compte root. Le versionnement de compartiment S3 est nécessaire pour qu'Object Lock fonctionne, car il conserve les versions précédentes des objets en cas de modifications accidentelles ou malveillantes. Utiliser une politique de compartiment S3 pour refuser explicitement s3:DeleteObject et s3:PutObject n'est pas suffisant, car un utilisateur avec des permissions suffisantes pourrait modifier la politique. Modifier le chiffrement du compartiment pour utiliser SSE-KMS ne protège pas contre la modification ou la suppression d'objets ; il gère uniquement la gestion des clés de chiffrement. Activer la suppression MFA sur le compartiment S3 ajoute une couche de sécurité pour la suppression d'objets, mais ne protège pas contre leur modification et peut être contourné par des actions non-suppression.