Un'azienda di hosting di immagini archivia oggetti in bucket Amazon S3 e desidera prevenire l'esposizione pubblica accidentale. Tutti gli oggetti S3 nell'account devono rimanere privati. Quale soluzione soddisfa questi requisiti?

La soluzione corretta è utilizzare la funzionalità S3 Block Public Access a livello di account e un SCP di AWS Organizations. S3 Block Public Access (BPA) a livello di account impedisce in modo proattivo che qualsiasi oggetto o bucket S3 nell'account diventi pubblico, anche a causa di configurazioni errate. L'SCP di AWS Organizations aggiunge un ulteriore livello di protezione, impedendo agli utenti IAM di disabilitare questa impostazione cruciale, garantendo che tutti gli oggetti S3 rimangano privati in modo coerente e centralizzato. Le altre opzioni sono meno efficaci: GuardDuty e Trusted Advisor sono strumenti di monitoraggio reattivi. GuardDuty si concentra sulle minacce e Trusted Advisor identifica i problemi di configurazione, ma entrambi richiederebbero una remediation dopo che l'esposizione è avvenuta, non la prevengono in modo proattivo. AWS Resource Access Manager (RAM) è per la condivisione di risorse tra account e non è lo strumento appropriato per identificare o bloccare l'accesso pubblico ai bucket S3.