Het SecOps-team moet een SNS e-mailnotificatie ontvangen als een lidaccount in de organisatie S3 Block Public Access op bucketniveau uitschakelt. De oplossing mag niet afhankelijk zijn van wijzigingen in lidaccounts en moet voorkomen dat lidaccounts de notificatie uitschakelen. Welke oplossing voldoet aan deze vereisten?

De correcte optie is het inschakelen van AWS Config organisatiebreed met een conformance pack. AWS Config kan organisatiebreed worden ingeschakeld en geconfigureerd vanuit het managementaccount of een gedelegeerd beheerdersaccount, waardoor wijzigingen in lidaccounts niet nodig zijn en lidaccounts de notificatie niet kunnen uitschakelen. De beheerde regel s3-bucket-level-public-access-prohibited detecteert wanneer S3 Block Public Access op bucketniveau is uitgeschakeld. Een conformance pack kan deze regel in alle accounts implementeren. Een SSM-document kan vervolgens worden gebruikt om meldingen naar een centraal SNS-topic te sturen bij non-conformiteit. De andere opties zijn minder geschikt. GuardDuty en Amazon Inspector zijn gericht op beveiligingsdreigingen en kwetsbaarheden, niet op configuratiewijzigingen zoals het uitschakelen van S3 Block Public Access. CloudFormation StackSets vereisen dat de StackSet in elk account wordt geïmplementeerd, wat meer beheer overhead kan veroorzaken en niet centraal afdwingbaar is op dezelfde manier als AWS Config organisatiebreed.