Ein Unternehmen nutzt eine Organisation in AWS Organizations mit einem dedizierten Sicherheitskonto. Alle Aktivitäten über alle Mitgliedskonten hinweg müssen zentral im dedizierten Sicherheitskonto protokolliert und 2 Jahre lang sicher aufbewahrt werden, wobei keine Löschungen oder Änderungen zulässig sind. Welche Kombination von Schritten erfüllt diese Anforderungen mit dem geringsten Betriebsaufwand? (Wählen Sie zwei.)

Die Erstellung eines AWS CloudTrail Organization Trail ist die effizienteste Methode, um Protokolle von allen Mitgliedskonten zentral in einem dedizierten Sicherheitskonto zu erfassen, da er automatisch Protokolle von allen bestehenden und zukünftigen Konten in der Organisation sammelt. Ein S3-Bucket mit S3 Object Lock im Compliance-Modus für 2 Jahre stellt sicher, dass die Protokolle unveränderlich und für die erforderliche Dauer aufbewahrt werden, ohne dass Löschungen oder Änderungen möglich sind. Die Bucket-Richtlinie muss so konfiguriert werden, dass Mitgliedskonten in den Bucket schreiben dürfen, damit CloudTrail die Protokolle dorthin liefern kann. Die Option, die dem Verwaltungskonto das Schreiben erlaubt, ist unzureichend, da CloudTrail-Protokolle von den Mitgliedskonten stammen. Die S3 Lifecycle-Konfiguration erfüllt nicht die Anforderung der Unveränderlichkeit. Das manuelle Aktivieren von CloudTrail in jedem Konto und die Weiterleitung über Lambda und Kinesis Data Firehose ist betrieblich aufwendiger und nicht notwendig.