Um arquiteto de soluções está projetando controles de segurança para contas de desenvolvedor criadas no AWS Organizations. Os desenvolvedores terão acesso em nível de usuário root às suas próprias contas, mas o arquiteto deve garantir que a configuração obrigatória do AWS CloudTrail aplicada às novas contas de desenvolvedor não possa ser modificada. Qual ação atende a esse requisito?

A Service Control Policy (SCP) é a solução correta porque permite que você gerencie permissões em todas as contas de uma organização no AWS Organizations. Ao criar uma SCP que nega explicitamente modificações no CloudTrail e anexá-la às contas de desenvolvedor, você garante que nem mesmo o usuário root dessas contas possa alterar a configuração do CloudTrail. As outras opções são incorretas porque: Uma política do IAM anexada ao usuário root não é eficaz, pois o usuário root pode remover suas próprias políticas do IAM. Criar uma nova trilha dentro das contas de desenvolvedor com trilhas da organização habilitada não impede que o usuário root modifique ou exclua essa trilha. Uma função vinculada ao serviço para o CloudTrail com uma condição de política não impede que o usuário root modifique as configurações do CloudTrail, pois o usuário root tem permissões irrestritas por padrão e pode alterar ou remover essa função.