Een ontwikkelteam creëert dagelijks nieuwe S3-buckets. Het beveiligingsteam vereist dat alle huidige en toekomstige buckets encryptie, logging en versioning ingeschakeld hebben, en dat geen enkele bucket ooit publiekelijk leesbaar of beschrijfbaar is. Wat moet een DevOps-engineer implementeren om compliance te garanderen?

De correcte optie is om AWS Config-regels in te schakelen om bucketinstellingen te controleren en automatische herstelacties te configureren met AWS Systems Manager-documenten. AWS Config is ontworpen om de configuratie van AWS-resources te evalueren en te controleren, en kan afwijkingen van de gewenste staat detecteren, zoals ontbrekende encryptie, logging of versioning, of publieke toegang. Wanneer een non-compliant bucket wordt gedetecteerd, kan een AWS Config-regel een automatische herstelactie activeren met behulp van een AWS Systems Manager Automation-document om de bucket weer compliant te maken. AWS CloudTrail registreert API-activiteit, maar biedt geen directe compliance-controle of automatische herstelmechanismen voor configuratieproblemen. AWS Trusted Advisor geeft aanbevelingen voor best practices, maar is geen tool voor continue compliance-handhaving met automatische herstelacties. AWS Systems Manager kan automatisering uitvoeren, maar heeft zelf geen ingebouwde compliance-evaluatiemogelijkheden zoals AWS Config.