Usando a conta de gerenciamento do AWS Control Tower e o CloudFormation StackSets, um engenheiro de DevOps deve habilitar o Amazon GuardDuty para contas que ainda não o habilitaram. Para evitar falhas de implantação do StackSets, como o modelo do CloudFormation deve ser projetado?

A opção correta é usar um recurso personalizado do CloudFormation com uma função Lambda. Isso permite que a lógica de habilitação do GuardDuty seja executada de forma condicional. A função Lambda pode verificar o status atual do GuardDuty em cada conta e habilitá-lo apenas se ainda não estiver ativo, evitando erros de "recurso já existe" que ocorreriam se o CloudFormation tentasse criar um GuardDuty já existente. As outras opções são incorretas porque: A seção Conditions do CloudFormation avalia condições estáticas no momento da implantação do stack, não o estado dinâmico de um serviço em uma conta. A função intrínseca Fn::GetAtt recupera atributos de recursos já definidos no template ou existentes, mas não pode ser usada para detectar a existência de um serviço como o GuardDuty de forma condicional para criação. Montar manualmente uma lista de IDs de conta é impraticável e não escalável para um ambiente gerenciado pelo AWS Control Tower com várias contas e implantações dinâmicas de StackSets.