Un arquitecto de soluciones está diseñando controles de seguridad para las cuentas de desarrollador creadas bajo AWS Organizations. Los desarrolladores tendrán acceso a nivel de usuario root a sus propias cuentas, pero el arquitecto debe asegurarse de que la configuración obligatoria de AWS CloudTrail aplicada a las nuevas cuentas de desarrollador no pueda ser modificada. ¿Qué acción cumple con este requisito?

La opción correcta es crear una política de control de servicios (SCP) que prohíba los cambios en CloudTrail y adjuntarla a las cuentas de desarrollador. Las SCPs son la herramienta principal en AWS Organizations para imponer permisos máximos en todas las cuentas miembro, incluyendo la cuenta raíz. Al adjuntar una SCP que deniega explícitamente las acciones de modificación de CloudTrail a las unidades organizativas o cuentas de desarrollador, se asegura que ni siquiera el usuario raíz de esas cuentas pueda alterar la configuración obligatoria de CloudTrail. Las otras opciones son incorrectas porque: Una política de IAM adjunta al usuario raíz no es efectiva para prevenir cambios por el propio usuario raíz, ya que este tiene permisos ilimitados por defecto y puede eliminar o modificar sus propias políticas de IAM. Crear un nuevo trail desde las cuentas de desarrollador con la opción de trails de la organización habilitada no impide que el usuario raíz de la cuenta de desarrollador modifique o elimine ese trail. Un rol vinculado a servicios con una condición de política no es el mecanismo adecuado para imponer restricciones a nivel de cuenta raíz en AWS Organizations. Las SCPs están diseñadas específicamente para este propósito.