Een bedrijf moet resultaten van medische proeven opslaan in een Amazon S3-repository waar enkele wetenschappers nieuwe bestanden kunnen toevoegen en alle andere gebruikers alleen-lezen toegang hebben. Geen enkele gebruiker mag bestanden wijzigen of verwijderen, en elk bestand moet ten minste 1 jaar vanaf de aanmaakdatum worden bewaard. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is S3 Object Lock in compliance mode met een retentieperiode van 365 dagen. Compliance mode voorkomt dat objecten worden overschreven of verwijderd door elke gebruiker, inclusief de root-gebruiker, gedurende de ingestelde retentieperiode. Dit voldoet aan de vereiste dat niemand bestanden mag wijzigen of verwijderen en dat elk bestand ten minste 1 jaar bewaard moet blijven. S3 Object Lock in governance mode met een legal hold van 1 jaar is incorrect omdat governance mode nog steeds toestaat dat gebruikers met voldoende rechten objecten verwijderen of de retentie-instellingen wijzigen. Een legal hold heeft geen vaste einddatum en is bedoeld voor onbepaalde retentie, niet voor een vaste periode van 1 jaar. Het gebruik van een IAM-rol en bucket policy is onvoldoende, omdat dit alleen op permissies gebaseerd is. Een gebruiker met voldoende rechten kan deze permissies altijd omzeilen of wijzigen. Een Lambda-functie om hashes bij te houden, identificeert wel gewijzigde objecten, maar voorkomt niet dat ze worden gewijzigd of verwijderd, wat een kernvereiste is.