Administrator SysOps musi upewnić się, że każdy obecny i przyszły bucket Amazon S3 na koncie ma włączone logowanie dostępu do serwera. Jeśli bucket zostanie znaleziony bez logowania, zautomatyzowany proces musi włączyć logowanie dla tego bucketa. Które rozwiązanie spełnia ten wymóg?

Poprawna odpowiedź to użycie zarządzanej reguły AWS Config s3-bucket-logging-enabled wraz z działaniem remediacyjnym, które uruchamia runbook AWS Systems Manager Automation AWS-ConfigureS3BucketLogging. Reguła AWS Config automatycznie wykryje buckety S3 bez włączonego logowania, a działanie remediacyjne automatycznie uruchomi runbook, który skonfiguruje logowanie dla tych bucketów, zapewniając zgodność z wymaganiami. Pozostałe opcje są niepoprawne, ponieważ: AWS Trusted Advisor może identyfikować buckety bez logowania, ale nie ma wbudowanej funkcji automatycznego włączania logowania. Polityka S3 bucket może wymuszać pewne zachowania, ale nie może aktywnie włączyć logowania dla bucketów, które go nie mają, ani dla nowo utworzonych bucketów bez odpowiedniej konfiguracji. Wywołanie funkcji AWS Lambda jest możliwe, ale runbook Systems Manager Automation AWS-ConfigureS3BucketLogging jest gotowym, zarządzanym rozwiązaniem zaprojektowanym specjalnie do tego celu, co czyni je bardziej efektywnym i mniej podatnym na błędy niż tworzenie niestandardowej funkcji Lambda.