一家公司使用 AWS Organizations 管理多个 AWS 账户。安全团队注意到某些成员账户未将 AWS CloudTrail 日志发送到集中的 Amazon S3 日志记录存储桶。团队必须确保每个现有账户和任何新账户都至少配置了一个跟踪。团队应采取哪些措施？

在 Organizations 管理账户中，编辑现有跟踪并将其应用于组织是确保所有成员账户（包括新账户）都有 CloudTrail 跟踪的最有效方法。组织跟踪会自动应用于组织中的所有现有和未来账户，并集中管理日志。 创建新的跟踪并配置通知虽然可行，但需要为每个账户单独操作或复杂的自动化，不适用于组织范围的覆盖。在每个账户中部署 Lambda 函数来检查和创建跟踪会增加管理复杂性，并且在账户数量多时效率低下。创建 SCP 只能防止跟踪被删除或停止，但不能主动确保每个账户都存在跟踪。