Het bedrijf gebruikt een AWS Organizations-organisatie om ontwikkelaarsaccounts te beheren. Alle gegevens moeten tijdens de overdracht worden versleuteld, maar verschillende S3-buckets in ontwikkelaarsaccounts staan momenteel niet-versleutelde (niet-SSL) verzoeken toe. Een DevOps-engineer moet TLS (SSL) afdwingen voor gegevens tijdens de overdracht voor elke bestaande S3-bucket in accounts in de organisatie. Welke aanpak voldoet aan deze vereiste?

De correcte optie is om AWS Config in te schakelen voor de organisatie en een conformance pack te implementeren met de beheerde regel s3-bucket-ssl-requests-only. Deze regel detecteert S3-buckets die geen SSL/TLS-verzoeken afdwingen. Vervolgens kan een AWS Systems Manager Automation runbook worden gebruikt om automatisch een bucketbeleid toe te voegen dat toegang weigert wanneer de aws:SecureTransport condition key onwaar is. Dit dwingt TLS (SSL) af voor alle communicatie met de S3-buckets. De opties met AWS Network Firewall zijn ongeschikt omdat S3-toegang via de AWS API-gateways verloopt en niet direct via poort 80 of 443 van een EC2-instance of VPC-endpoint dat door Network Firewall kan worden geïnspecteerd. Network Firewall is bedoeld voor netwerkverkeer binnen of tussen VPC's, niet voor service-endpoints zoals S3. De laatste optie is onjuist omdat de s3:x-amz-server-side-encryption-aws-kms-key-id condition key gerelateerd is aan server-side encryptie met KMS-sleutels, en niet aan het afdwingen van TLS voor data-in-transit. De vraag gaat specifiek over encryptie tijdens overdracht (TLS/SSL).