Een bedrijf gebruikt Amazon S3 om vertrouwelijke auditdocumenten op te slaan. De S3-bucket gebruikt bucket policies die de toegang beperken tot de IAM user credentials van het auditteam, volgens het principe van least privilege. Managers maken zich zorgen over het per ongeluk verwijderen van documenten en willen een veiligere oplossing. Wat moet een solutions architect doen om de auditdocumenten te beveiligen?

De juiste oplossing is het inschakelen van versioning en MFA Delete op de S3-bucket. Versioning zorgt ervoor dat bij het per ongeluk verwijderen van een object, eerdere versies behouden blijven en hersteld kunnen worden. MFA Delete voegt een extra beveiligingslaag toe door te vereisen dat een Multi-Factor Authentication (MFA)-apparaat wordt gebruikt om een objectversie permanent te verwijderen of de versioning-status van de bucket te wijzigen, wat het risico op onbedoelde verwijdering aanzienlijk vermindert. Het inschakelen van MFA voor IAM-gebruikersaccounts verhoogt de beveiliging van de inloggegevens, maar voorkomt geen onbedoelde verwijdering door een geautoriseerde gebruiker. Een S3 Lifecycle policy is bedoeld voor geautomatiseerd beheer van objecten (bijv. archiveren of verwijderen na een bepaalde periode), niet voor het voorkomen van handmatige verwijdering door een geautoriseerde gebruiker. Het ontzeggen van toegang tot de KMS-sleutel zou de toegang tot de versleutelde documenten onmogelijk maken, wat niet de bedoeling is.