Un proveedor global de SaaS ejecuta su plataforma en varias cuentas de AWS gestionadas por AWS Organizations. Todas las llamadas a la API a los recursos de AWS deben auditarse, rastrearse en busca de cambios y almacenarse de forma duradera y segura para cumplir con la normativa. La solución debe minimizar la sobrecarga operativa. ¿Qué enfoque cumple estos requisitos?

La opción correcta es crear un trail de AWS CloudTrail en la cuenta de administración de la organización y configurarlo para que se aplique a todas las cuentas. Esto centraliza la auditoría y minimiza la sobrecarga operativa, ya que no es necesario configurar CloudTrail en cada cuenta miembro. Almacenar los logs en un bucket de S3 con versionado habilitado garantiza la durabilidad y la protección contra eliminaciones accidentales o maliciosas, cumpliendo con los requisitos de auditoría y seguridad. Habilitar la eliminación de MFA y el cifrado en el bucket de S3 añade una capa adicional de seguridad. La primera opción es incorrecta porque, aunque usa un bucket central, no especifica que el trail de CloudTrail se aplique a todas las cuentas de la organización, lo que podría dejar cuentas sin auditar. La segunda opción es incorrecta porque crear un trail y un bucket de S3 en cada cuenta miembro aumenta significativamente la sobrecarga operativa y de gestión. La cuarta opción es incorrecta porque, aunque usa un trail centralizado, no menciona el versionado del bucket de S3, lo cual es crucial para la inmutabilidad y la recuperación de logs, y el envío de notificaciones a un sistema externo no es el requisito principal para la durabilidad y seguridad del almacenamiento.