Uma empresa usa o AWS Organizations (com todos os recursos habilitados). A empresa exige a auditoria de todas as chamadas de API e logins em todas as contas AWS existentes e novas, deseja uma solução gerenciada com o mínimo de trabalho e custo extras e precisa ser notificada quando qualquer conta não estiver em conformidade com o padrão AWS Foundational Security Best Practices (FSBP). Qual solução oferece isso com a menor sobrecarga operacional?

A opção correta é implantar o AWS Control Tower na conta de gerenciamento do Organizations e habilitar o Security Hub e o Account Factory. O Control Tower automatiza a configuração de uma landing zone multi-contas, incluindo o AWS CloudTrail para auditoria de API e logins em todas as contas existentes e novas, atendendo ao requisito de solução gerenciada com mínimo esforço. Ele também integra o AWS Security Hub para monitorar a conformidade com as Boas Práticas de Segurança Fundamentais da AWS (FSBP) e notificar sobre não conformidades. Implantar em uma conta membro dedicada não é a prática recomendada para o Control Tower, que deve ser configurado na conta de gerenciamento. As opções com AWS Managed Services (AMS) Accelerate envolvem mais sobrecarga operacional e processos de RFC, que não são a solução mais eficiente para este cenário.