Un progetto CodeBuild carica gli artefatti in un bucket S3 condiviso. La fase post_build del buildspec utilizza --acl authenticated-read e ora chiunque abbia un account AWS può scaricare gli artefatti. Cosa dovrebbe fare l'ingegnere DevOps per impedirlo?

L'opzione corretta risolve il problema alla radice. L'ACL authenticated-read concede l'accesso in lettura a qualsiasi utente AWS autenticato, che è il comportamento indesiderato. Rimuovendo questo ACL dal comando postbuild, si impedisce che gli artefatti vengano resi accessibili a tutti gli account AWS. Successivamente, una policy del bucket S3 può essere configurata per concedere l'accesso in lettura solo agli account AWS specifici e pertinenti, implementando così il controllo granulare desiderato. Le altre opzioni sono errate perché: Usare public-read renderebbe gli artefatti accessibili a chiunque su Internet, anche senza un account AWS, il che è peggio. Le ACL predefinite del bucket non possono limitare l'insieme di utenti autenticati a specifici account AWS, ma solo a tutti gli account AWS. Creare una policy del bucket che nega l'accesso a non è sufficiente se l'ACL authenticated-read è ancora presente, poiché le ACL hanno la precedenza sulle negazioni esplicite nelle policy del bucket per determinate autorizzazioni, e in questo caso, l'ACL concede un accesso più ampio.