Una empresa gestiona varias cuentas de AWS con AWS Organizations. El equipo de seguridad observa que algunas cuentas miembro no envían los logs de AWS CloudTrail a un bucket centralizado de Amazon S3 para logs. El equipo debe asegurarse de que cada cuenta existente y cada cuenta nueva tenga al menos un trail configurado. ¿Qué acciones debería tomar el equipo?

La opción correcta es editar un trail existente en la cuenta de administración de AWS Organizations y aplicarlo a toda la organización. Esto garantiza que cada cuenta miembro, tanto las existentes como las nuevas, tenga un trail configurado automáticamente que envíe logs a un bucket centralizado de S3, cumpliendo con el requisito de seguridad de forma eficiente y escalable. Crear un nuevo trail y usar EventBridge solo aborda la notificación de cambios, no la creación de trails en todas las cuentas. Implementar una función Lambda en cada cuenta es ineficiente y difícil de gestionar a escala organizacional. Crear una SCP para denegar acciones Delete y Stop ayuda a proteger los trails existentes, pero no crea trails donde no los hay.