Un amministratore SysOps deve garantire che ogni bucket Amazon S3 attuale e futuro nell'account abbia il logging degli accessi al server abilitato. Se viene trovato un bucket senza logging, un processo automatizzato deve abilitare il logging su quel bucket. Quale soluzione soddisfa questo requisito?

La soluzione corretta è utilizzare la regola gestita di AWS Config s3-bucket-logging-enabled con un'azione di remediation che esegue il runbook di Systems Manager AWS-ConfigureS3BucketLogging. Questa regola di AWS Config monitora automaticamente tutti i bucket S3 nell'account per verificare se il logging degli accessi al server è abilitato. Se un bucket non è conforme (cioè, il logging non è abilitato), l'azione di remediation preconfigurata, che invoca il runbook di Systems Manager, abiliterà automaticamente il logging per quel bucket, garantendo la conformità continua. Le altre opzioni sono meno efficaci: AWS Trusted Advisor identifica solo i problemi e non ha la capacità intrinseca di abilitare automaticamente il logging. Una policy del bucket S3 può imporre determinate configurazioni, ma non può abilitare proattivamente il logging se non è già configurato. L'utilizzo di una funzione AWS Lambda personalizzata per la remediation richiederebbe uno sviluppo e una manutenzione aggiuntivi, mentre il runbook di Systems Manager AWS-ConfigureS3BucketLogging è una soluzione gestita e pronta all'uso per questo specifico compito.