Een bedrijf moet gevoelige gegevens archiveren naar Amazon S3 Glacier en ervoor zorgen dat geen enkel AWS-account de gegevens kan wijzigen. Het retentiebeleid vereist dat de vault lock wordt afgedwongen binnen de juiste validatietermijn. Welke aanpak voldoet aan de compliance-behoefte?

De correcte optie is om een vault lock policy toe te passen op de Glacier vault en deze binnen 24 uur te valideren met de lock ID. Amazon S3 Glacier Vault Lock stelt u in staat om onveranderlijke en niet-overdraagbare archieven te implementeren met een write-once-read-many (WORM) model. Zodra een vault lock policy is ingesteld en de lock-periode is voltooid (wat binnen 24 uur moet gebeuren), wordt de policy onveranderlijk. Dit betekent dat niemand, zelfs de root-account niet, de policy kan wijzigen of de gegevens kan verwijderen vóór de ingestelde retentieperiode, wat voldoet aan de compliance-eisen voor gevoelige gegevens. De optie om na 24 uur te valideren is incorrect omdat de validatie binnen 24 uur moet plaatsvinden om de lock te voltooien. Als de validatie niet binnen 24 uur plaatsvindt, wordt de lock-procedure geannuleerd en is de policy niet afgedwongen. De opties die S3 Object Lock in Governance mode noemen, zijn incorrect omdat de vraag specifiek verwijst naar Amazon S3 Glacier voor archivering van gevoelige gegevens. Hoewel S3 Object Lock vergelijkbare functionaliteit biedt voor S3-buckets, is Glacier Vault Lock de juiste service voor Glacier vaults. Governance mode in S3 Object Lock biedt ook een zekere mate van bescherming, maar het is niet de primaire oplossing voor Glacier-archieven en biedt niet dezelfde onveranderlijkheid als een geactiveerde Glacier Vault Lock.