Una empresa implementó varias cuentas de AWS con AWS Control Tower. El equipo de seguridad necesita automatizar las "guardrails" de Control Tower para todas las cuentas en una OU específica, mantener la configuración de las "guardrails" bajo control de versiones con la capacidad de revisar y revertir los cambios, hacer que el equipo de seguridad mantenga la solución en su propia OU y restringir los tipos de "guardrails" para que solo se permitan las nuevas "guardrails" aprobadas. ¿Qué solución proporciona la mayor eficiencia operativa?

La opción correcta automatiza la implementación de "guardrails" de Control Tower utilizando CloudFormation para definir cada "guardrail" y AWS::ControlTower::EnableControl para aplicarlas a OUs específicas. Almacenar estas plantillas en CodeCommit proporciona control de versiones y un historial de cambios. Un CodePipeline, activado por cambios en CodeCommit, automatiza el proceso de revisión y despliegue, asegurando que solo las "guardrails" aprobadas se implementen. Esto centraliza la gestión en la OU del equipo de seguridad y restringe los tipos de "guardrails" a los definidos en el repositorio. La opción incorrecta que usa CodeBuild no es tan eficiente como CodePipeline para flujos de trabajo de CI/CD complejos. La opción que aplica "guardrails" a cada cuenta individualmente es menos escalable que aplicarlas a OUs. La opción que usa S3 PutObject para activar el pipeline carece del control de versiones y las capacidades de revisión inherentes a CodeCommit.