Ein Unternehmen nutzt AWS Organizations (alle Funktionen aktiviert). Das Unternehmen benötigt die Überwachung aller API-Aufrufe und Anmeldungen in jedem bestehenden und neuen AWS-Konto, wünscht sich eine verwaltete Lösung mit minimalem Mehraufwand und Kosten und muss benachrichtigt werden, wenn ein Konto nicht den AWS Foundational Security Best Practices (FSBP) entspricht. Welche Lösung bietet dies mit dem geringsten Betriebsaufwand?

Die Bereitstellung von AWS Control Tower im Management-Konto von Organizations ist die optimale Lösung. Control Tower bietet eine verwaltete Landing Zone, die Best Practices für Multi-Account-Umgebungen implementiert und die Überwachung von API-Aufrufen und Anmeldungen über AWS CloudTrail in allen Konten automatisch konfiguriert. Die Aktivierung von AWS Security Hub innerhalb dieser Umgebung gewährleistet die Überprüfung auf FSBP-Konformität und Benachrichtigungen bei Abweichungen. Die Account Factory von Control Tower stellt sicher, dass neue Konten automatisch mit diesen Konfigurationen erstellt werden, was den Betriebsaufwand minimiert. Die Bereitstellung von Control Tower in einem Mitgliedskonto ist nicht möglich, da Control Tower das Management-Konto für seine Operationen benötigt. AWS Managed Services (AMS) Accelerate ist zwar eine verwaltete Lösung, aber Control Tower ist speziell für die Einhaltung von Best Practices und die Automatisierung der Kontoerstellung konzipiert, was es zur effizienteren Option macht. Das Einreichen von RFCs für die Bereitstellung von GuardDuty oder Security Hub über AMS würde zudem einen höheren Betriebsaufwand bedeuten als die integrierte Lösung von Control Tower.