Une organisation au sein d'AWS Organizations possède un compartiment Amazon S3 dans un compte qui est actuellement public. Un ingénieur en sécurité doit rendre le compartiment privé et s'assurer qu'il ne pourra pas être rendu public à l'avenir. Quelle solution répond à ces exigences ?

La bonne réponse est d'activer S3 Block Public Access sur le compartiment et de créer une SCP pour refuser s3:PutPublicAccessBlock pour l'OU. S3 Block Public Access (BPA) est le moyen le plus efficace de rendre un compartiment S3 privé, car il annule toutes les autorisations publiques existantes et empêche les futures configurations publiques. La SCP refusant s3:PutPublicAccessBlock empêche les comptes de l'OU de désactiver le BPA, garantissant ainsi que le compartiment reste privé de manière permanente. Les autres options sont incorrectes car : L'utilisation d'AWS KMS chiffre les données mais ne contrôle pas l'accès public. Refuser s3:GetObject empêcherait l'accès aux objets mais ne rendrait pas le compartiment privé et n'empêcherait pas de le rendre public. Activer S3 BPA est correct, mais refuser s3:GetObject ne protège pas contre la désactivation future du BPA. S3 Object Lock protège les objets contre la suppression ou la modification, mais ne gère pas l'accès public.