Um arquiteto de soluções está projetando uma solução AWS multi-conta usando AWS Organizations e organizou as contas em unidades organizacionais (OUs). O arquiteto precisa detectar quaisquer alterações na hierarquia da OU e notificar a equipe de operações sobre essas alterações com o MÍNIMO de sobrecarga operacional. Qual solução atende a esses requisitos?

A opção correta é provisionar as contas AWS usando o AWS Control Tower e usar notificações de desvio de conta. O AWS Control Tower simplifica a configuração e o gerenciamento de um ambiente multi-conta seguro e compatível. Ele detecta automaticamente o desvio de políticas de governança, incluindo alterações na hierarquia da OU, e pode enviar notificações. Isso minimiza a sobrecarga operacional, pois o Control Tower gerencia a detecção e a notificação. As outras opções são menos eficientes: Usar regras agregadas do AWS Config com o Control Tower não é a forma mais direta de detectar alterações na hierarquia da OU; as notificações de desvio do Control Tower são mais específicas para esse caso. O AWS Service Catalog é para provisionar produtos, não para detectar alterações na estrutura do Organizations. Um trail de organização do CloudTrail pode registrar eventos, mas a análise e notificação de alterações na hierarquia da OU exigiria configuração adicional e seria mais complexa do que a funcionalidade nativa do Control Tower. O AWS CloudFormation é para provisionar infraestrutura e a detecção de desvio de stack se aplica a recursos provisionados por CloudFormation, não diretamente a alterações na hierarquia da OU do Organizations.