Courseiva
← Questões de CLF-C02
Ver a questão original em inglês
MédiaMúltipla escolha

Questão de prática de CLF-C02

Uma empresa usa o AWS Organizations para gerenciar várias contas da AWS. A equipe de segurança precisa garantir que nenhum bucket do Amazon S3 em nenhuma conta da organização possa ser tornado publicamente acessível. A equipe deseja um controle preventivo gerenciado centralmente que se aplique a todas as contas existentes e futuras e que não possa ser substituído por administradores de contas individuais. Qual recurso da AWS a equipe de segurança deve usar para atender a esses requisitos?

Escolha a melhor resposta.

Resposta correta

  • DService control policy (SCP) no AWS Organizations

Explicação

As service control policies (SCPs) no AWS Organizations permitem que você defina e aplique centralmente barreiras de permissão em todas as contas da organização. Uma SCP que nega a ação `s3:PutBucketPublicAccessBlock` e ações de acesso público relacionadas garante que nenhum bucket do S3 possa ser tornado publicamente acessível, e essa política se aplica a todas as contas existentes e futuras sem poder ser substituída por administradores de contas individuais.

Por que cada alternativa está certa ou errada

A

Incorreta

Configurações a nível de conta do S3 Block Public Access

As configurações a nível de conta do S3 Block Public Access podem ser aplicadas por conta, mas não podem ser impostas centralmente em todas as contas de uma organização com uma única configuração. Os administradores de contas individuais podem desabilitar ou modificar essas configurações, portanto, isso não atende ao requisito de um controle central e não substituível.

B

Incorreta

Regra gerenciada do AWS Config s3-bucket-public-read-prohibited

As regras do AWS Config são controles detectivos. Elas podem avaliar configurações de buckets e relatar recursos em não conformidade, mas não impedem que a ação ocorra. A equipe deseja um controle preventivo que proiba tornar os buckets públicos desde o início.

C

Incorreta

Amazon Macie com um trabalho de descoberta de dados sensíveis

O Amazon Macie é um serviço de segurança de dados que usa aprendizado de máquina para descobrir, classificar e proteger dados sensíveis no S3. Ele não fornece nenhum mecanismo para impedir que os buckets sejam tornados publicamente acessíveis; ele se concentra no conteúdo dos dados em vez do controle de acesso.

D

Correta

Service control policy (SCP) no AWS Organizations

As service control policies (SCPs) são um recurso do AWS Organizations. Elas permitem controle centralizado e preventivo sobre as permissões máximas concedidas a contas dentro da organização. Uma SCP pode negar ações que tornariam um bucket do S3 público, como s3:PutBucketAcl ou s3:PutBucketPolicy. As SCPs se aplicam a todas as contas (incluindo contas futuras) e não podem ser substituídas por administradores de contas, atendendo a todos os requisitos.

Para se aprofundar

As service control policies no AWS Organizations são políticas JSON anexadas à raiz, às unidades organizacionais ou às contas que definem as permissões máximas disponíveis para os principals em contas membros. Uma SCP que nega s3:PutBucketPublicAccessBlock ou nega s3:PutBucketPolicy com principals públicos atua como uma barreira preventiva avaliada antes das políticas baseadas em identidade, de modo que os administradores de contas não podem substituí-la. As SCPs não concedem permissões; elas apenas filtram o que as políticas de IAM podem permitir. Uma sutileza é que as SCPs não se aplicam à conta de gerenciamento e afetam apenas principals em contas membros, não papéis vinculados a serviços em alguns casos. Isso importa para equipes de segurança centralizadas que aplicam controles em toda a organização, porque uma única SCP na raiz se aplica a todas as contas existentes e futuras sem exigir configuração por conta ou remediação detectiva.

Sobre estas questões de prática

Esta é uma das questões de prática originais de CLF-C02 da Courseiva, escrita para o aprendizado e nunca copiada de provas reais nem de dumps.

Traduzida do original em inglês com IA e conferida quanto ao sentido. Códigos de exame, comandos e nomes de produtos são mantidos como aparecem na prova.