Компания хранит конфиденциальные данные в бакете Amazon S3, зашифрованном с помощью серверного шифрования с ключами, управляемыми Amazon S3 (SSE-S3). Инженер по безопасности должен предотвратить любые изменения объектов. Какое решение соответствует этому требованию?

Включение S3 Object Lock в режиме Compliance и версионирования бакета S3 является наиболее эффективным решением, поскольку режим Compliance предотвращает изменение или удаление объектов любым пользователем, включая корневого пользователя аккаунта, до истечения установленного срока хранения. Версионирование S3 необходимо для работы Object Lock и позволяет сохранять несколько версий объекта. Использование политики бакета S3 для запрета s3:DeleteObject и s3:PutObject может быть обойдено пользователями с соответствующими разрешениями. Изменение шифрования на SSE-KMS не предотвращает изменение или удаление объектов. Включение удаления с MFA повышает безопасность, но не предотвращает изменение объектов и позволяет удалить их после прохождения MFA.