Uma empresa implantou várias contas AWS com o AWS Control Tower. A equipe de segurança precisa automatizar os guardrails do Control Tower para todas as contas em uma OU específica, manter a configuração do guardrail sob controle de versão com a capacidade de revisar e reverter alterações, fazer com que a equipe de segurança mantenha a solução em sua própria OU e restringir os tipos de guardrail para que apenas novos guardrails aprovados sejam permitidos. Qual solução oferece a maior eficiência operacional?

A opção correta é a que propõe criar modelos CloudFormation individuais para cada guardrail, armazená-los no AWS CodeCommit, usar o recurso AWS::ControlTower::EnableControl para cada OU, e configurar um AWS CodePipeline na conta da equipe de segurança, invocado por uma regra do EventBridge em alterações do CodeCommit. Esta abordagem oferece alta eficiência operacional porque automatiza a implantação e atualização dos guardrails através de um pipeline CI/CD, garante controle de versão com o CodeCommit, e permite que a equipe de segurança gerencie a solução em sua própria OU. As outras opções são menos eficientes: A primeira opção usa CodeBuild em vez de CodePipeline, o que é menos robusto para um fluxo de trabalho CI/CD completo e não especifica como as alterações seriam revisadas e aprovadas antes da implantação. A segunda opção aplica guardrails por conta em vez de por OU, o que é menos escalável e mais trabalhoso para gerenciar em um ambiente com muitas contas. Além disso, exige que a equipe de segurança inicie o pipeline manualmente, o que não é automatizado. A quarta opção usa eventos S3 PutObject para invocar o pipeline, o que não oferece o mesmo nível de controle de versão e rastreabilidade de alterações que o CodeCommit, dificultando a revisão e reversão.