Een bedrijf gebruikt AWS Config rules om Amazon S3-buckets te identificeren die niet voldoen aan het databeschermingsbeleid van het bedrijf. De buckets zijn verspreid over meerdere AWS-regio's en meerdere AWS-accounts binnen een AWS Organizations-organisatie. Het bedrijf heeft een oplossing nodig om bestaande niet-compatibele buckets en toekomstige niet-compatibele buckets te herstellen. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing omvat een AWS Config aggregator met organisatiebrede aggregatie. Dit is essentieel om compliance-gegevens van S3-buckets in alle accounts en regio's binnen de AWS Organizations-organisatie te verzamelen. Een AWS Lambda-functie die reageert op AWS Config-bevindingen is de juiste keuze voor het herstellen van bestaande en toekomstige niet-compatibele buckets, omdat deze automatisch kan worden geactiveerd om de buckets te verwijderen of te herconfigureren. De optie met een SCP is onjuist omdat SCP's alleen het aanmaken van nieuwe niet-compatibele buckets kunnen voorkomen; ze kunnen bestaande niet-compatibele buckets niet herstellen. Het beperken van de AWS Config aggregator tot alleen de momenteel gebruikte accounts en regio's is onvoldoende, omdat dit geen rekening houdt met toekomstige accounts of regio's, wat in strijd is met de vereiste voor organisatiebrede dekking.