Firma egzekwuje ścisłe zasady dostępu do S3, używając ról IAM dla wewnętrznych zespołów. Firma musi być powiadamiana, gdy użytkownik naruszy zasady dostępu do danych, a każde powiadomienie musi zawierać nazwę użytkownika naruszającego zasady. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to użycie AWS CloudTrail do śledzenia zdarzeń na poziomie obiektów dla zasobnika S3 i przekazanie ich do Amazon CloudWatch w celu skonfigurowania alarmów. CloudTrail rejestruje wszystkie wywołania API S3, w tym próby dostępu, co pozwala na identyfikację użytkownika naruszającego zasady. Integracja z CloudWatch umożliwia tworzenie alarmów na podstawie tych zdarzeń i wysyłanie powiadomień. Pozostałe opcje są mniej odpowiednie: Reguły AWS Config mogą wykrywać niezgodności z zasadami, ale nie monitorują zdarzeń dostępu w czasie rzeczywistym ani nie dostarczają szczegółowych informacji o użytkowniku naruszającym zasady. Metryki Amazon CloudWatch na poziomie obiektów nie dostarczają wystarczająco szczegółowych informacji o konkretnych próbach dostępu i użytkownikach. Logi dostępu do serwera Amazon S3 rejestrują dostęp, ale ich przetwarzanie w CloudWatch w celu wyodrębnienia informacji o naruszeniach i użytkownikach jest bardziej złożone i mniej bezpośrednie niż użycie CloudTrail, który jest zaprojektowany do audytu działań API.