Um provedor global de SaaS executa sua plataforma em várias contas AWS gerenciadas pelo AWS Organizations. Todas as chamadas de API para recursos da AWS devem ser auditadas, ter suas alterações rastreadas e ser armazenadas de forma durável e segura para satisfazer a conformidade regulatória. A solução deve minimizar a sobrecarga operacional. Qual abordagem atende a esses requisitos?

A opção correta é criar um trail do CloudTrail na conta de gerenciamento da organização, configurá-lo para aplicar a todas as contas e usar um bucket S3 com versionamento, exclusão de MFA e criptografia. Isso centraliza a auditoria de todas as contas da organização, minimizando a sobrecarga operacional. O versionamento do S3 garante a integridade dos logs, protegendo contra exclusões acidentais ou maliciosas, o que é crucial para conformidade. A exclusão de MFA e a criptografia adicionam camadas de segurança. As opções incorretas são: Criar um trail em cada conta membro aumenta a sobrecarga operacional e dificulta a centralização da auditoria. Usar um bucket S3 existente na conta de gerenciamento sem versionamento não atende aos requisitos de durabilidade e integridade para conformidade. A opção de notificação SNS para um sistema externo não é o principal requisito para a durabilidade e integridade dos logs, nem a melhor prática para centralizar a auditoria de toda a organização.