Het bedrijf vereist, met behulp van AWS Control Tower en CloudFormation, dat elke S3-bucket die door CloudFormation in de multi-account omgeving wordt aangemaakt, moet worden versleuteld met AWS KMS keys. Welke aanpak dwingt deze vereiste af?

De correcte aanpak is het gebruik van proactieve AWS Control Tower controls met CloudFormation hooks. Proactieve controls voorkomen dat niet-compatibele resources worden geïmplementeerd door de CloudFormation-implementatie te blokkeren als de S3-bucket niet is geconfigureerd met KMS-versleuteling. Dit garandeert naleving vóór de creatie van de resource. Detectieve controls (optie 3) waarschuwen alleen nadat een niet-compatibele resource is gemaakt, wat niet voldoet aan de vereiste om de creatie te afdwingen. Een SCP (optie 1) op s3:PutObject is gericht op objecten, niet op de bucket zelf, en voorkomt de creatie van een onversleutelde bucket niet. Een AWS Config organizational rule (optie 4) is ook detectief; het identificeert niet-compatibele buckets na creatie, in plaats van de creatie ervan te voorkomen.