Een bedrijf handhaaft strikte S3-toegangsbeleidsregels met behulp van IAM-rollen voor interne teams. Het bedrijf moet op de hoogte worden gesteld wanneer een gebruiker het beleid voor gegevenstoegang schendt, en elke waarschuwing moet de gebruikersnaam van de overtreder bevatten. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is om AWS CloudTrail te gebruiken om gebeurtenissen op objectniveau voor de S3-bucket bij te houden en deze gebeurtenissen door te sturen naar Amazon CloudWatch voor het instellen van alarmen. CloudTrail registreert API-activiteiten en gerelateerde gebeurtenissen, inclusief mislukte toegangspogingen, en bevat de gebruikersnaam van de aanvrager. Door een CloudWatch-alarm te configureren op basis van CloudTrail-logboeken, kunt u specifieke patronen detecteren die wijzen op beleidsschendingen en direct meldingen ontvangen met de gebruikersnaam. AWS Config-regels zijn bedoeld voor het evalueren van de configuratie van AWS-resources op naleving, niet voor het detecteren van runtime-toegangsbeleidsschendingen door gebruikers. Amazon CloudWatch-metrics op objectniveau bestaan niet standaard voor S3-toegangsschendingen en bieden geen gebruikersnaamdetails. Amazon S3 server access logs registreren wel toegang, maar het parseren van deze logs voor specifieke schendingen en het extraheren van gebruikersnamen is complexer en minder direct dan CloudTrail voor dit specifieke doel.