Un equipo de seguridad debe registrar y retener centralmente la actividad de llamadas a la API de AWS para todas las Regiones actuales y futuras. ¿Cuál es la forma más sencilla de cumplir con estos requisitos?

La opción correcta es crear un único registro de AWS CloudTrail que se aplique a todas las Regiones y especificar un bucket de Amazon S3 como destino de los logs. CloudTrail registra la actividad de la API de AWS. Un solo registro configurado para aplicarse a todas las Regiones (multi-Región) capturará eventos de todas las Regiones actuales y futuras en una cuenta, consolidando los logs en un único bucket de S3. Las otras opciones son incorrectas porque: Habilitar las comprobaciones de seguridad de AWS Trusted Advisor no registra la actividad de la API; Trusted Advisor proporciona recomendaciones de seguridad, no logs de eventos. Crear registros de CloudTrail separados en cada Región es ineficiente y no garantiza la cobertura de Regiones futuras automáticamente. Habilitar el registro de Amazon CloudWatch para todos los servicios no es la forma más sencilla ni la más directa de registrar específicamente las llamadas a la API de AWS; CloudWatch Logs es un servicio de monitoreo y agregación de logs que puede ingerir logs de CloudTrail, pero CloudTrail es el servicio principal para el registro de la API.