Bir şirket, Amazon S3'te depolanan veriler üzerinde uzun süreli analizler yürütmektedir. İşler, internet erişimi olmayan özel bir alt ağdaki Amazon EC2 örneklerinde, bir Auto Scaling grubu kullanılarak çalışır. EC2 örnekleri ve S3 demetleri aynı AWS hesabındadır ve varsayılan politikaya sahip bir S3 gateway VPC endpoint kullanır. Her örneğin profil rolü, yalnızca gerekli S3 demetleri için s3:GetObject ve s3:PutObject işlemlerine açıkça izin verir. Şirket, bir veya daha fazla örneğin güvenliğinin ihlal edildiğini ve şirketin AWS Organizations kuruluşu dışındaki bir S3 demetine veri sızdırdığını keşfeder. Bir güvenlik mühendisi, işleme işlerini çalışır durumda tutarken veri sızıntısını durdurmalıdır. Bu gereksinimleri hangi çözüm karşılayacaktır?

Doğru cevap, S3 gateway endpoint üzerindeki politikayı aws:ResourceOrgID ve aws:PrincipalOrgID koşul anahtarlarıyla güncellemek, çünkü bu, S3 erişimini yalnızca kuruluş içindeki kaynaklar ve sorumlularla sınırlar. Bu, güvenliği ihlal edilmiş bir EC2 örneğinin kuruluş dışındaki bir S3 demetine veri sızdırmasını engellerken, mevcut iş yüklerinin kuruluş içindeki S3 demetlerine erişmeye devam etmesini sağlar. Örnek profil rolünü güncellemek, EC2 örneklerinin kendi kuruluşları dışındaki S3 demetlerine erişmesini engeller, ancak S3 gateway endpoint'i aracılığıyla diğer kuruluşlardaki S3 demetlerine erişimi kısıtlamaz. Ağ ACL kuralı eklemek, S3'e giden tüm trafiği engelleyerek iş yüklerini kesintiye uğratır. Hizmet kontrol politikası (SCP) uygulamak, AWS hesabına değil, AWS Organizations kuruluşuna uygulanır ve bu senaryoda doğrudan bir çözüm sağlamaz.