L'entreprise va créer des comptes enfants distincts dans AWS Organizations pour les équipes DevOps. AWS CloudTrail est activé dans tous les comptes et livre les journaux d'audit à un compartiment Amazon S3 dans un compte central. L'ingénieur de sécurité doit empêcher les membres de l'équipe DevOps de modifier ou de désactiver cette configuration. Comment cela doit-il être appliqué ?

La bonne réponse est de créer une politique de contrôle de service (SCP) qui refuse les modifications du journal CloudTrail spécifique et de l'attacher à l'unité d'organisation (OU) ou aux comptes pertinents dans Organizations. Les SCPs sont des politiques au niveau de l'organisation qui peuvent être utilisées pour définir les autorisations maximales disponibles pour tous les comptes membres d'une OU ou de l'organisation. En attachant un SCP qui refuse les actions de modification ou de désactivation de CloudTrail, vous assurez que même les administrateurs de compte enfant ne peuvent pas contourner cette restriction, car les SCPs priment sur les politiques IAM individuelles. Les autres options sont incorrectes car : Attacher une politique IAM à l'utilisateur root n'est pas recommandé et ne serait pas suffisant, car les utilisateurs root ont des privilèges élevés qui peuvent contourner de nombreuses politiques IAM. Une politique de compartiment S3 ne contrôle pas la configuration de CloudTrail lui-même, seulement l'accès au compartiment de destination des journaux. Attacher une politique IAM à un groupe ne s'appliquerait qu'aux membres de ce groupe et pourrait être contourné par d'autres utilisateurs ou rôles IAM, ou par l'utilisateur root.