Все бакеты S3 должны иметь включенное шифрование на стороне сервера с использованием AES-256 сразу после создания, а существующие незашифрованные бакеты должны быть приведены в соответствие. Какое решение обеспечивает применение AES-256 для новых бакетов и устраняет несоответствия в существующих бакетах?

Правильный ответ — использование управляемого правила AWS Config s3-bucket-server-side-encryption-enabled с автоматическим исправлением. Это правило AWS Config обнаруживает бакеты S3 без шифрования на стороне сервера и может быть настроено для автоматического исправления с помощью runbook Systems Manager Automation AWS-EnableS3BucketEncryption, который устанавливает AES-256 в качестве шифрования по умолчанию. Это решение эффективно для новых бакетов (через постоянную оценку Config) и для существующих (через повторную оценку), обеспечивая соответствие требованиям без ручного вмешательства. Создание функции Lambda для периодического сканирования бакетов S3 менее эффективно, так как требует написания и поддержки кода, а также может иметь задержки в обнаружении и исправлении. Lambda, запускаемая при создании бакета, решит проблему только для новых бакетов, но не для существующих. Политика IAM, запрещающая создание бакетов без шифрования, также решает проблему только для новых бакетов и не исправляет существующие, а также не обеспечивает автоматического применения шифрования, а лишь запрещает несоответствующие действия.