Courseiva
← Preguntas de CLF-C02
Ver la pregunta original en inglés
MediaOpción múltiple

Pregunta de práctica de CLF-C02

Una empresa utiliza AWS Organizations para administrar varias cuentas de AWS. El equipo de seguridad debe asegurarse de que ningún bucket de Amazon S3 en ninguna cuenta dentro de la organización pueda hacerse públicamente accesible. El equipo desea un control preventivo administrado de forma centralizada que se aplique a todas las cuentas existentes y futuras, y que no pueda ser anulado por los administradores de cuentas individuales. ¿Qué característica de AWS debe utilizar el equipo de seguridad para cumplir con estos requisitos?

Elige la mejor respuesta.

Respuesta correcta

  • DService control policy (SCP) en AWS Organizations

Explicación

Las service control policies (SCPs) en AWS Organizations le permiten definir y aplicar de manera centralizada directrices de permisos en todas las cuentas de la organización. Una SCP que niega la acción `s3:PutBucketPublicAccessBlock` y las acciones relacionadas con el acceso público garantiza que ningún bucket de S3 pueda hacerse públicamente accesible, y esta política se aplica a todas las cuentas existentes y futuras sin que los administradores de cuentas individuales puedan anularla.

Por qué cada opción es correcta o incorrecta

A

Incorrecta

Configuraciones a nivel de cuenta de S3 Block Public Access

Las configuraciones a nivel de cuenta de S3 Block Public Access se pueden aplicar por cuenta, pero no se pueden hacer cumplir de forma centralizada en todas las cuentas de una organización con una sola configuración. Los administradores de cuentas individuales podrían deshabilitar o modificar estas configuraciones, por lo que esto no cumple con el requisito de un control central y no anulable.

B

Incorrecta

Regla administrada de AWS Config s3-bucket-public-read-prohibited

Las reglas de AWS Config son controles detectivos. Pueden evaluar las configuraciones de los buckets e informar sobre recursos no conformes, pero no impiden que ocurra la acción. El equipo desea un control preventivo que prohíba hacer que los buckets sean públicos en primer lugar.

C

Incorrecta

Amazon Macie con un trabajo de descubrimiento de datos sensibles

Amazon Macie es un servicio de seguridad de datos que utiliza aprendizaje automático para descubrir, clasificar y proteger datos sensibles en S3. No proporciona ningún mecanismo para evitar que los buckets se hagan públicamente accesible; se centra en el contenido de los datos en lugar de en el control de acceso.

D

Correcta

Service control policy (SCP) en AWS Organizations

Las service control policies (SCPs) son una característica de AWS Organizations. Permiten un control preventivo y centralizado sobre los permisos máximos concedidos a las cuentas dentro de la organización. Una SCP puede denegar acciones que harían que un bucket de S3 sea público, como s3:PutBucketAcl o s3:PutBucketPolicy. Las SCP se aplican a todas las cuentas (incluidas las cuentas futuras) y no pueden ser anuladas por los administradores de cuentas, cumpliendo con todos los requisitos.

Para profundizar

Las service control policies en AWS Organizations son políticas de JSON adjuntas a la raíz, las unidades organizacionales o las cuentas que definen los permisos máximos disponibles para los principals en las cuentas miembro. Una SCP que niega s3:PutBucketPublicAccessBlock o niega s3:PutBucketPolicy con principals públicos actúa como un mecanismo de protección preventivo que se evalúa antes de las políticas basadas en identidad, por lo que los administradores de cuentas no pueden anularla. Las SCP no conceden permisos; solo filtran lo que las políticas de IAM pueden permitir. Una sutileza es que las SCP no se aplican a la cuenta de administración y afectan solo a los principals en las cuentas miembro, no a los roles vinculados a servicios en algunos casos. Esto importa para los equipos de seguridad centralizados que aplican controles en toda la organización, ya que una sola SCP en la raíz se aplica a todas las cuentas existentes y futuras sin requerir configuración por cuenta ni remediación detectivesca.

Sobre estas preguntas de práctica

Esta es una de las preguntas de práctica originales de CLF-C02 de Courseiva, escrita para aprender y nunca copiada de exámenes reales ni de dumps.

Traducida del original en inglés con IA y revisada para comprobar el sentido. Los códigos de examen, los comandos y los nombres de productos se mantienen tal como aparecen en el examen.