La empresa necesita asegurarse de que los registros de flujo de VPC estén habilitados para todas las VPC actuales y futuras en la cuenta. Las VPC se gestionan con un stack de CloudFormation, pero los usuarios pueden crear VPC directamente. ¿Qué enfoque aplica los registros de flujo para las VPC existentes y las recién creadas por cualquier usuario de IAM?

La opción correcta es habilitar AWS Config con una regla que verifique los registros de flujo de VPC y configure la remediación automática. Esto garantiza que tanto las VPC existentes como las nuevas, creadas por cualquier método (CloudFormation o directamente), tengan los registros de flujo habilitados de forma consistente y automática. La opción de CloudFormation solo afectaría a las VPC creadas o actualizadas a través de esa plantilla, no a las creadas directamente. Crear una AWS Organization y un SCP no habilitaría los registros de flujo, solo impediría su desactivación. Una política de IAM que deniegue llamadas API relacionadas con registros de flujo impediría la gestión, pero no los habilitaría inicialmente.