Un fournisseur SaaS mondial exécute sa plateforme sur plusieurs comptes AWS gérés par AWS Organizations. Tous les appels d'API aux ressources AWS doivent être audités, leurs modifications suivies et stockés de manière durable et sécurisée pour satisfaire aux exigences de conformité réglementaire. La solution doit minimiser la charge opérationnelle. Quelle approche répond à ces exigences ?

La création d'un journal CloudTrail d'organisation dans le compte de gestion centralise l'audit de tous les comptes membres, ce qui réduit la charge opérationnelle et assure une couverture complète. L'activation du versionnement sur le compartiment S3 protège contre la suppression ou la modification accidentelle des journaux, garantissant ainsi la durabilité et l'intégrité. L'activation de la suppression MFA et du chiffrement ajoute des couches de sécurité essentielles pour la conformité. Les autres options sont moins optimales : Créer un journal dans chaque compte membre est opérationnellement lourd et ne centralise pas la gestion. Utiliser un compartiment S3 existant pourrait ne pas respecter les exigences de sécurité ou de versionnement spécifiques aux journaux d'audit. Envoyer des notifications à un système externe n'est pas suffisant pour garantir la durabilité et la sécurité des journaux eux-mêmes, qui doivent rester dans S3.