Wszystkie zasobniki S3 muszą mieć włączone szyfrowanie po stronie serwera przy użyciu AES-256 natychmiast po utworzeniu, a istniejące niezaszyfrowane zasobniki muszą zostać doprowadzone do zgodności. Które rozwiązanie wymusza AES-256 dla nowych zasobników i naprawia istniejące zasobniki?

Poprawna odpowiedź to skonfigurowanie zarządzanej reguły AWS Config s3-bucket-server-side-encryption-enabled z akcją naprawczą AWS Systems Manager Automation AWS-EnableS3BucketEncryption. Ta reguła automatycznie wykrywa niezgodne zasobniki (te bez szyfrowania AES-256) i uruchamia runbook, który naprawia problem, włączając szyfrowanie. Ręczne ponowne uruchomienie oceny zapewnia zgodność istniejących zasobników. Pozostałe opcje są mniej skuteczne lub niekompletne: Funkcja Lambda wywoływana okresowo może naprawiać istniejące zasobniki, ale nie wymusza szyfrowania natychmiast po utworzeniu, co może prowadzić do krótkiego okresu niezgodności. Funkcja Lambda wyzwalana przez zdarzenia tworzenia zasobników S3 może obsługiwać nowe zasobniki, ale nie naprawia istniejących. Polityka IAM odrzucająca s3:CreateBucket bez AES-256 zapobiega tworzeniu niezgodnych zasobników, ale nie naprawia istniejących ani nie ustawia domyślnego szyfrowania dla nowych zasobników, które spełniają inne warunki.