Компания хранит файлы резервных копий в бакете Amazon S3 и требует, чтобы эти резервные копии нельзя было удалить в течение как минимум 90 дней после создания. Что должен реализовать SysOps-администратор, чтобы удовлетворить это требование?

Правильный ответ — включить S3 Object Lock на вновь созданном бакете S3 в режиме compliance и разместить там резервные копии со сроком хранения 90 дней. S3 Object Lock в режиме compliance (соответствия) предотвращает удаление или перезапись объекта любым пользователем, включая корневого пользователя аккаунта AWS, до истечения установленного срока хранения. Это гарантирует, что резервные копии будут храниться не менее 90 дней. Создание политики IAM, блокирующей s3:DeleteObject, не является достаточным, так как ее можно изменить или удалить, а также корневой пользователь аккаунта AWS всегда может удалить объекты. Включение S3 Versioning (версионирования) защищает от случайного удаления, но не предотвращает преднамеренное удаление всех версий объекта. S3 Object Lock в режиме governance (управления) позволяет некоторым авторизованным пользователям изменять или удалять объекты до истечения срока хранения, что не соответствует требованию абсолютной невозможности удаления.