Firma musi przechowywać dane w Amazon S3 i zapobiegać ich zmianie. Nowe obiekty przesyłane do S3 muszą pozostać niezmienne przez nieokreślony czas, dopóki firma nie zdecyduje się ich zmodyfikować. Tylko określeni użytkownicy na koncie AWS powinni mieć możliwość usuwania obiektów. Co powinien zrobić architekt rozwiązań, aby spełnić te wymagania?

Prawidłowa odpowiedź to utworzenie bucketa S3 z włączoną funkcją S3 Object Lock i wersjonowaniem, a następnie dodanie blokady prawnej (legal hold) do obiektów. Uprawnienie s3:PutObjectLegalHold dla wybranych użytkowników pozwoli im zarządzać blokadami prawnymi, co jest równoznaczne z możliwością usuwania obiektów po zwolnieniu blokady. Blokada prawna zapewnia, że obiekty są niezmienne, dopóki nie zostanie ręcznie zwolniona, co spełnia wymaganie nieokreślonego czasu. S3 Glacier nie jest odpowiednie, ponieważ wymaga odzyskiwania danych, a firma chce mieć natychmiastowy dostęp. Ustawienie okresu przechowywania na 100 lat nie spełnia wymogu "nieokreślonego czasu", ponieważ jest to stały okres. Monitorowanie CloudTrail i przywracanie z kopii zapasowych jest reaktywne i nie zapobiega modyfikacjom.