В AWS Organizations у организации есть бакет Amazon S3 в одной учетной записи, который в настоящее время является публичным. Инженер по безопасности должен сделать бакет приватным и гарантировать, что он не сможет стать публичным в будущем. Какое решение соответствует этим требованиям?

Правильный ответ: Включить S3 Block Public Access для бакета. Создать SCP для запрета s3:PutPublicAccessBlock для OU, содержащего учетную запись. S3 Block Public Access — это наиболее эффективный способ гарантировать, что бакет S3 не станет публичным, так как он блокирует публичный доступ на уровне бакета или учетной записи. Создание SCP (Service Control Policy) для запрета s3:PutPublicAccessBlock предотвращает отключение этой защиты в будущем, обеспечивая постоянную приватность. Неправильные варианты: Настройка AWS KMS и принудительное шифрование с помощью политики бакета не делает бакет приватным; это лишь шифрует данные. Запрет s3:GetObject не предотвращает публичный доступ, а лишь ограничивает получение объектов. Включение S3 Block Public Access — это хорошо, но запрет s3:GetObject через SCP не предотвращает публичный доступ, а лишь ограничивает получение объектов. Включение S3 Object Lock в режиме управления предотвращает удаление или перезапись объектов, но не делает бакет приватным.