Een organisatie in AWS Organizations heeft een Amazon S3-bucket in één account die momenteel openbaar is. Een security engineer moet de bucket privé maken en ervoor zorgen dat deze in de toekomst niet openbaar kan worden gemaakt. Welke oplossing voldoet aan deze vereisten?

De correcte oplossing is om S3 Block Public Access in te schakelen op de bucket en een Service Control Policy (SCP) aan te maken om s3:PutPublicAccessBlock te weigeren voor de OU die het account bevat. S3 Block Public Access zorgt ervoor dat de bucket privé wordt en voorkomt toekomstige openbare toegang. Het SCP voorkomt dat de instellingen van S3 Block Public Access worden gewijzigd of uitgeschakeld, waardoor de bucket beschermd blijft tegen onbedoelde of kwaadwillende openbaarmaking. De andere opties zijn minder effectief: Het configureren van KMS-encryptie en het weigeren van s3:GetObject via een SCP garandeert niet dat de bucket privé blijft; het regelt alleen encryptie en toegang tot objecten, niet de openbare toegankelijkheid van de bucket zelf. Het weigeren van s3:GetObject via een SCP voorkomt dat gebruikers objecten kunnen ophalen, maar het staat nog steeds toe dat de bucket openbaar kan worden gemaakt. S3 Object Lock in governance-modus is bedoeld voor onveranderlijkheid van objecten (WORM) en niet voor het beheren van openbare toegang tot de bucket.