Команда разработчиков ежедневно создает новые бакеты S3. Команда безопасности требует, чтобы все текущие и будущие бакеты имели включенное шифрование, логирование и версионирование, а также чтобы ни один бакет никогда не был публично читаемым или записываемым. Что должен реализовать DevOps-инженер для обеспечения соответствия требованиям?

Правильный ответ: Включение правил AWS Config позволяет непрерывно отслеживать соответствие бакетов S3 заданным требованиям безопасности (шифрование, логирование, версионирование, отсутствие публичного доступа). AWS Config может автоматически обнаруживать несоответствия. Интеграция с документами AWS Systems Manager Automation позволяет автоматически устранять эти несоответствия, применяя необходимые настройки к бакетам S3. Неправильные варианты: AWS CloudTrail отслеживает действия API, но не обеспечивает автоматическую проверку и устранение конфигурации бакетов. Функции Lambda могут быть использованы для устранения, но CloudTrail сам по себе не является инструментом аудита конфигурации. AWS Trusted Advisor предоставляет рекомендации по оптимизации, но не предназначен для непрерывного аудита и автоматического устранения конкретных требований безопасности S3. EventBridge может запускать действия, но ему нужны источники событий, которых Trusted Advisor не предоставляет для этой задачи. AWS Systems Manager сам по себе является набором инструментов управления и не включает встроенных возможностей для аудита конфигурации S3. Хотя документы Systems Manager Automation могут использоваться для устранения проблем, для их запуска требуется механизм обнаружения несоответствий, который предоставляет AWS Config.