Uma empresa gerencia várias contas AWS com o AWS Organizations. A equipe de segurança percebe que algumas contas-membro não estão enviando logs do AWS CloudTrail para um bucket de log centralizado do Amazon S3. A equipe deve garantir que todas as contas existentes e quaisquer novas contas tenham pelo menos uma trilha configurada. Quais ações a equipe deve tomar?

A opção correta é editar a trilha existente na conta de gerenciamento e aplicá-la à organização. Isso cria uma trilha de organização que registra eventos para todas as contas na organização, incluindo contas novas e existentes, e entrega os logs para um bucket S3 centralizado. A criação de uma nova trilha e a configuração de notificações via EventBridge não garantem que todas as contas tenham uma trilha configurada, pois a nova trilha pode ser apenas para uma conta específica. Implantar uma função Lambda em cada conta é complexo e não escalável para muitas contas. Criar um SCP para negar ações de exclusão ou interrupção do CloudTrail é uma boa prática de segurança, mas não garante que uma trilha seja criada se ela não existir.