Een bedrijf dat afbeeldingen host, slaat objecten op in Amazon S3-buckets en wil onbedoelde openbare blootstelling voorkomen. Alle S3-objecten in het account moeten privé blijven. Welke oplossing voldoet aan deze vereisten?

De S3 Block Public Access-functie op accountniveau is de meest effectieve manier om te voorkomen dat S3-objecten openbaar worden. Deze functie blokkeert alle openbare toegang tot S3-buckets en -objecten, ongeacht de individuele bucket- of objectrechten. Door dit op accountniveau in te stellen, wordt het afgedwongen voor alle huidige en toekomstige buckets. Een Service Control Policy (SCP) via AWS Organizations voorkomt dat IAM-gebruikers deze cruciale instelling uitschakelen, wat een extra beveiligingslaag biedt tegen onbedoelde configuratiewijzigingen. De andere opties zijn minder effectief: GuardDuty is primair voor bedreigingsdetectie, niet voor het proactief voorkomen van openbare toegang. Trusted Advisor detecteert wel openbare buckets, maar vereist handmatige interventie, wat minder efficiënt en foutgevoeliger is. AWS Resource Access Manager (RAM) is bedoeld voor het delen van resources binnen AWS-accounts, niet voor het beheren van S3-toegangsbeleid.