Organizacja w AWS Organizations posiada zasobnik Amazon S3 na jednym koncie, który jest obecnie publiczny. Inżynier bezpieczeństwa musi uczynić ten zasobnik prywatnym i zapewnić, że w przyszłości nie będzie mógł zostać ponownie upubliczniony. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź spełnia oba wymagania: uczynienie zasobnika prywatnym i zapobieganie przyszłemu upublicznieniu. Włączenie S3 Block Public Access na poziomie zasobnika natychmiast blokuje publiczny dostęp. Utworzenie zasad kontroli usług (SCP) odmawiających uprawnienia s3:PutPublicAccessBlock dla jednostki organizacyjnej (OU) uniemożliwia członkom kont w tej OU wyłączenie funkcji Block Public Access, skutecznie zapobiegając ponownemu upublicznieniu zasobnika. Pozostałe opcje są nieprawidłowe, ponieważ: Opcja 1 (KMS i SCP dla GetObject) nie rozwiązuje problemu publicznego dostępu do zasobnika ani nie zapobiega jego ponownemu upublicznieniu. Szyfrowanie KMS chroni dane, ale nie kontroluje dostępu publicznego. Opcja 2 (Block Public Access i SCP dla GetObject) blokuje publiczny dostęp, ale SCP odmawiające s3:GetObject nie zapobiega wyłączeniu Block Public Access, co mogłoby ponownie upublicznić zasobnik. Opcja 4 (S3 Object Lock i SCP dla PutPublicAccessBlock) S3 Object Lock chroni obiekty przed usunięciem lub nadpisaniem, ale nie kontroluje publicznego dostępu do zasobnika.