Компания использует AWS Organizations для управления учетными записями разработчиков. Все данные должны быть зашифрованы при передаче, но несколько бакетов S3 в учетных записях разработчиков в настоящее время разрешают незашифрованные (без SSL) запросы. Инженер DevOps должен обеспечить принудительное использование TLS (SSL) для данных при передаче для каждого существующего бакета S3 в учетных записях организации. Какой подход удовлетворяет этому требованию?

Правильный ответ обеспечивает принудительное использование TLS (SSL) для S3-бакетов. Включение AWS Config на уровне организации и развертывание пакета соответствия с управляемым правилом s3-bucket-ssl-requests-only позволяет обнаруживать бакеты, не требующие SSL. Затем runbook AWS Systems Manager Automation автоматически применяет политику бакета, которая отклоняет запросы, если aws:SecureTransport имеет значение false, эффективно блокируя незашифрованные запросы. Неправильные варианты: Использование AWS Network Firewall для блокировки порта 80 неэффективно, так как запросы к S3 обычно используют порт 443 (HTTPS) или порт 80 (HTTP). Блокировка исходящего или входящего трафика на порт 80 не гарантирует шифрование для S3, поскольку запросы могут быть отправлены на порт 443 без принудительного использования SSL. Последний вариант ошибочен, так как условие s3:x-amz-server-side-encryption-aws-kms-key-id относится к шифрованию данных в покое с помощью KMS, а не к шифрованию при передаче (TLS/SSL).