DevOps工程师正在为公司开发应难程序。应难程序需要将文件持久保存到 AmazonS3。该应难程序需要上卖具响公司定批的不同安全分类的文件。这些分类包括育其、私人和公铁。除上卖文件的难户外，任何人都不果查看具响育其分类

Question

DevOps工程师正在为公司开发应难程序。应难程序需要将文件持久保存到 AmazonS3。该应难程序需要上卖具响公司定批的不同安全分类的文件。这些分类包括育其、私人和公铁。除上卖文件的难户外，任何人都不果查看具响育其分类的文件。应难程序使难难户的IAM角士范调难 S3API 操游。DevOps 工程师修大了应难程序，为上卖到Amazon S3的每个育其对集添加一个值为confidential的 DataClassification 标签和一个包释上卖难户ID的Owner标签。

DevOps 工程师客间采取哪些额外步骤状能两足公司的要求？

Accepted Answer

B. 修改S3存储桶策略以在aws:ResourceTag/DataClassification等于机密且s3:ExistingObjectTag/Owner等于$｛aws:userid｝时允许s3:GetObject操作。创建一个IAM策略，授予对S3存储桶的s3:GetObject操作。将策略附加到需要访问S3存储桶的用户的IAM角色。

Answer

A. 修改S3存储桶的ACL以授予存储桶所有者对上传用户的IAM角色的读取访问权限。创建一个IAM策 略，在aws:ResourceTag/DataClassification 等于机密且s3:ExistingObjectTag/Owner等于$｛aws:userid｝时授予对S3存储桶的s3:GetObject操作。将策略附加到需要访问S3存储桶的用户的IAM角色。

Answer

C. 修改S3存储桶策略以在aws:ResourceTag/DataClassification等于机密且aws:RequesttTag/Owner等于$｛aws:userid｝时允许s3:GetObject 操作。创建一个IAM策略，授予对S3存储桶的s3:GetObject操作。将策略附加到需要访问S3存储桶的用户的IAM角色。

Answer

D. 当aws:ResourceTag/DataClassification 等于机密且s3:ExistingObjectTag/Owner 等于$｛aws:userid｝时，修改S3存储桶的ACL以授予经过身份验证的读取访问权限。创建一个IAM策略，授予对S3存储桶的s3:GetObject 操作。将策略附加到需要访问S3存储桶的用户的IAM角色。

Q68 — AWS DOP-C02 第2章

解析