AWS SAA 题库

点击卡片任意位置翻面查看正确答案与解析，也可以用键盘 ← → 切换题目。

第 411 / 1018 题单选题

一家图像托管公司将其对象存储在Amazon S3存储桶中。公司希望避免将S3存储桶中的对象意外暴露给公众。整个AWS账户中的所有S3对象都需要保持私有。 哪种解决方案将满足这些要求？

  • A. 使用Amazon GuardDuty监视S3存储桶策略。创建一个自动修复操作规则，使用AWS Lambda函数来纠正任何使对象变为公开的更改。
  • B. 使用AWS Trusted Advisor来查找具有公共访问权限的S3存储桶。在检测到更改时，配置Trusted Advisor发送电子邮件通知。如果S3存储桶策略允许公共访问，手动更改策略。
  • C. 使用AWS Resource Access Manager查找具有公共访问权限的S3存储桶。使用Amazon Simple Notification Service (Amazon SNS)在检测到更改时调用AWS Lambda函数。部署一个Lambda函数，以编程方式纠正更改。
  • D. 在账户级别使用S3阻止公共访问功能。使用AWS Organizations创建一个服务控制策略（SCP），防止IAM用户更改设置。将SCP应用到账户。
第 411 / 1018 题正确答案 D
  • D. 在账户级别使用S3阻止公共访问功能。使用AWS Organizations创建一个服务控制策略（SCP），防止IAM用户更改设置。将SCP应用到账户。

解析

选项D建议使用S3阻止公共访问功能，该功能可以在账户级别禁止将S3对象公开。使用AWS Organizations创建一个服务控制策略（SCP），可以有效地防止IAM用户更改设置，以确保所有S3对象都保持私有。这是一个最有效的解决方案，因为它在账户级别实施，并确保了对象的私密性。 其他选项都需要监视和自动修复，但没有提供与选项D相同的高级别保护和预防措施。选项A依赖于GuardDuty监视和自动修复，选项B和C需要检测和纠正，但都没有提供与选项D相同的全面控制。

AI 解析

Amazon S3阻止公共访问（Block Public Access）功能允许在账户级别统一禁止对象的公共访问，覆盖所有现有和新建存储桶。结合AWS Organizations的服务控制策略（SCP），可限制IAM用户修改相关设置，确保策略不会被覆盖或调整。AWS官方文档指出，S3阻止公共访问是防止存储桶意外暴露的有效方法，而SCP用于强制执行账户级别的权限控制。选项D通过联合使用这两种机制，确保所有对象始终私有。其他选项依赖监控、手动操作或非相关服务，无法从根源强制执行全局私有状态。