Un'azienda utilizza le regole di AWS Config per identificare i bucket Amazon S3 che non sono conformi alla policy di protezione dei dati dell'azienda. I bucket sono distribuiti su più Regioni AWS e più account AWS all'interno di un'organizzazione AWS Organizations. L'azienda necessita di una soluzione per rimediare ai bucket non conformi esistenti e a tutti i futuri bucket non conformi. Quale soluzione soddisferà questi requisiti?

La soluzione corretta utilizza un aggregatore AWS Config a livello di organizzazione per monitorare la conformità dei bucket S3 su più account e Regioni, come richiesto. Una funzione AWS Lambda che risponde ai risultati di AWS Config è il meccanismo ideale per automatizzare la bonifica dei bucket non conformi, sia esistenti che futuri, implementando logiche per eliminarli o riconfigurarli. L'opzione che propone un SCP non è sufficiente per la bonifica dei bucket esistenti, poiché gli SCP impediscono solo nuove azioni e non correggono le risorse già create. Inoltre, un SCP non può "riconfigurare" un bucket, ma solo negare la sua creazione o modifiche. Le opzioni che limitano l'ambito dell'aggregatore AWS Config solo agli account e alle Regioni attualmente in uso non soddisfano il requisito di monitorare tutti i bucket nell'organizzazione, inclusi quelli in nuove Regioni o account futuri.