L'azienda utilizza un'organizzazione AWS Organizations per gestire gli account degli sviluppatori. Tutti i dati devono essere crittografati in transito, ma diversi bucket S3 negli account degli sviluppatori attualmente consentono richieste non crittografate (non-SSL). Un ingegnere DevOps deve applicare TLS (SSL) per i dati in transito per ogni bucket S3 esistente negli account dell'organizzazione. Quale approccio soddisfa questo requisito?

L'opzione corretta utilizza AWS Config con un conformance pack per rilevare i bucket S3 che non applicano SSL. La regola gestita s3-bucket-ssl-requests-only è specificamente progettata per questo scopo. L'automazione tramite Systems Manager Automation, che aggiunge una policy del bucket con la condizione aws:SecureTransport impostata su false, è il metodo standard per imporre l'uso di TLS per le richieste S3. Le opzioni che propongono AWS Network Firewall sono errate perché Network Firewall è destinato al traffico di rete a livello di VPC e non può applicare policy a livello di bucket S3 per le richieste in transito. Bloccare la porta 80 non è sufficiente, poiché le richieste S3 possono avvenire su altre porte e il requisito è crittografare il traffico, non bloccarlo completamente. L'opzione errata che usa s3:x-amz-server-side-encryption-aws-kms-key-id è sbagliata perché questa chiave di condizione riguarda la crittografia lato server dei dati a riposo, non la crittografia in transito (SSL/TLS).