Il team SecOps deve ricevere una notifica e-mail tramite SNS se un account membro dell'organizzazione disabilita S3 Block Public Access a livello di bucket. La soluzione non deve basarsi su modifiche negli account membro e deve impedire agli account membro di disabilitare la notifica. Quale soluzione soddisfa questi requisiti?

La soluzione corretta sfrutta AWS Config a livello di organizzazione, che consente di monitorare la conformità delle risorse in tutti gli account membro da un account amministratore delegato. La regola gestita s3-bucket-level-public-access-prohibited rileva quando S3 Block Public Access viene disabilitato a livello di bucket. Un conformance pack garantisce che questa regola sia applicata in tutti gli account. L'account amministratore delegato gestisce l'argomento SNS e la notifica, impedendo agli account membro di disabilitarla. Un documento SSM può essere usato per pubblicare sull'argomento SNS in caso di violazione. Le altre opzioni sono meno adatte: GuardDuty non rileva direttamente la disabilitazione di S3 Block Public Access a livello di bucket. CloudFormation StackSets richiede la distribuzione di risorse in ogni account membro, che potrebbero essere modificate dagli account membro stessi, e non impedisce la disabilitazione della notifica. Amazon Inspector si concentra sulla scoperta di vulnerabilità e non monitora direttamente la configurazione di S3 Block Public Access in questo modo.