Tutti i bucket S3 devono avere la crittografia lato server abilitata usando AES-256 immediatamente dopo la creazione, e i bucket esistenti non crittografati devono essere resi conformi. Quale soluzione impone AES-256 per i nuovi bucket e rimedia ai bucket esistenti?

La risposta corretta è configurare la regola gestita di AWS Config s3-bucket-server-side-encryption-enabled con un'azione di remediation. Questa regola rileva i bucket S3 che non hanno la crittografia lato server abilitata. L'azione di remediation, utilizzando il runbook di Systems Manager Automation AWS-EnableS3BucketEncryption, può automaticamente abilitare la crittografia AES-256 per i bucket non conformi, sia nuovi che esistenti, garantendo la conformità. La rivalutazione manuale assicura che i bucket esistenti siano stati corretti. Le altre opzioni sono meno efficaci o incomplete: Una funzione Lambda richiamata periodicamente è meno efficiente e reattiva di AWS Config per la remediation automatica. Una funzione Lambda attivata dalla creazione di bucket S3 gestisce solo i nuovi bucket, non quelli esistenti. Una policy IAM nega la creazione di bucket non conformi ma non rimedia ai bucket esistenti e non impone la crittografia per i bucket già creati senza di essa.