Un architecte de solutions conçoit des contrôles de sécurité pour les comptes de développeurs créés sous AWS Organizations. Les développeurs auront un accès de niveau utilisateur root à leurs propres comptes, mais l'architecte doit s'assurer que la configuration AWS CloudTrail obligatoire appliquée aux nouveaux comptes de développeurs ne peut pas être modifiée. Quelle action répond à cette exigence ?

La bonne réponse est de créer une politique de contrôle des services (SCP) qui interdit les modifications de CloudTrail et de l'attacher aux comptes de développeurs. Les SCP sont des politiques de gestion d'AWS Organizations qui permettent de définir des autorisations maximales pour tous les comptes membres. En attachant une SCP qui refuse les actions de modification de CloudTrail aux comptes de développeurs, même l'utilisateur root de ces comptes ne pourra pas altérer la configuration de CloudTrail, garantissant ainsi l'immutabilité des journaux. Les autres options sont incorrectes car : Une politique IAM attachée à l'utilisateur root n'est pas possible car l'utilisateur root n'est pas géré par IAM ; de plus, l'utilisateur root a toujours tous les privilèges. Créer un nouveau journal d'activité avec l'option de journaux d'activité d'organisation activée est une bonne pratique, mais cela ne garantit pas que les développeurs ne pourront pas modifier ou supprimer ce journal dans leur propre compte. Un rôle lié à un service n'est pas conçu pour restreindre les actions de l'utilisateur root ou pour appliquer des contrôles à l'échelle de l'organisation de cette manière.