Courseiva
← Questions CLF-C02
Voir la question originale en anglais
MoyenneChoix unique

Question d'entraînement CLF-C02

Une entreprise utilise AWS Organizations pour gérer plusieurs comptes AWS. L'équipe de sécurité doit s'assurer qu'aucun bucket Amazon S3 dans aucun compte de l'organisation ne peut être rendu accessible publiquement. L'équipe souhaite un contrôle préventif géré de manière centralisée qui s'applique à tous les comptes existants et futurs et ne peut pas être contourné par les administrateurs de comptes individuels. Quelle fonctionnalité d'AWS l'équipe de sécurité doit-elle utiliser pour répondre à ces exigences ?

Choisissez la meilleure réponse.

Bonne réponse

  • DService control policy (SCP) dans AWS Organizations

Explication

Les service control policies (SCPs) dans AWS Organizations vous permettent de définir et d'appliquer de manière centralisée des garde-fous de permissions sur tous les comptes de l'organisation. Une SCP qui refuse l'action `s3:PutBucketPublicAccessBlock` et les actions d'accès public associées garantit qu'aucun bucket S3 ne peut être rendu accessible publiquement, et cette politique s'applique à tous les comptes existants et futurs sans pouvoir être contournée par les administrateurs de comptes individuels.

Pourquoi chaque option est juste ou fausse

A

Fausse

Paramètres au niveau du compte de S3 Block Public Access

Les paramètres au niveau du compte de S3 Block Public Access peuvent être appliqués par compte, mais ils ne sont pas applicables de manière centralisée sur tous les comptes d'une organisation avec une seule configuration. Les administrateurs de comptes individuels pourraient désactiver ou modifier ces paramètres, ce qui ne répond donc pas à l'exigence d'un contrôle central et non contournable.

B

Fausse

Règle gérée AWS Config s3-bucket-public-read-prohibited

Les règles AWS Config sont des contrôles détective. Elles peuvent évaluer les configurations de buckets et signaler les ressources non conformes, mais elles n'empêchent pas l'action de se produire. L'équipe souhaite un contrôle préventif qui interdit de rendre les buckets publics en premier lieu.

C

Fausse

Amazon Macie avec une tâche de découverte de données sensibles

Amazon Macie est un service de sécurité des données qui utilise l'apprentissage automatique pour découvrir, classifier et protéger les données sensibles dans S3. Il ne fournit aucun mécanisme pour empêcher que les buckets soient rendus accessibles publiquement ; il se concentre sur le contenu des données plutôt que sur le contrôle d'accès.

D

Juste

Service control policy (SCP) dans AWS Organizations

Les service control policies (SCPs) sont une fonctionnalité d'AWS Organizations. Elles permettent un contrôle centralisé et préventif sur les permissions maximales accordées aux comptes au sein de l'organisation. Une SCP peut refuser des actions qui rendraient un bucket S3 public, telles que s3:PutBucketAcl ou s3:PutBucketPolicy. Les SCP s'appliquent à tous les comptes (y compris les comptes futurs) et ne peuvent pas être contournées par les administrateurs de comptes, répondant ainsi à toutes les exigences.

Pour aller plus loin

Les service control policies dans AWS Organizations sont des politiques JSON attachées à la racine, aux unités organisationnelles ou aux comptes qui définissent les permissions maximales disponibles pour les principals dans les comptes membres. Une SCP qui refuse s3:PutBucketPublicAccessBlock ou refuse s3:PutBucketPolicy avec des principals publics agit comme un garde-fou préventif évalué avant les politiques basées sur l'identité, de sorte que les administrateurs de comptes ne peuvent pas le contourner. Les SCP n'accordent pas de permissions ; elles filtrent uniquement ce que les politiques IAM peuvent autoriser. Une subtilité est que les SCP ne s'appliquent pas au compte de gestion et affectent uniquement les principals des comptes membres, et non les rôles liés au service dans certains cas. Cela est important pour les équipes de sécurité centralisées appliquant des contrôles à l'échelle de l'organisation, car une seule SCP à la racine s'applique à tous les comptes existants et futurs sans nécessiter de configuration par compte ou de correction corrective.

À propos de ces questions d'entraînement

Cette question fait partie des questions d'entraînement CLF-C02 originales de Courseiva, rédigées pour apprendre et jamais copiées d'examens réels ou de dumps.

Traduite de l'original anglais avec l'IA et vérifiée pour le sens. Les codes d'examen, les commandes et les noms de produits sont conservés tels qu'ils apparaissent à l'examen.