Une entreprise utilise AWS Organizations (toutes les fonctionnalités sont activées). L'entreprise exige l'audit de tous les appels d'API et de toutes les connexions dans chaque compte AWS existant et nouveau, souhaite une solution gérée avec un minimum de travail et de coûts supplémentaires, et doit être informée lorsqu'un compte n'est pas conforme à la norme AWS Foundational Security Best Practices (FSBP). Quelle solution offre cela avec le moins de frais opérationnels ?

L'option correcte est de déployer AWS Control Tower dans le compte de gestion d'Organizations et d'activer Security Hub et Account Factory. AWS Control Tower est une solution gérée qui automatise la configuration d'une zone d'atterrissage sécurisée et conforme pour les environnements multi-comptes, en s'intégrant nativement avec AWS Organizations. Elle provisionne AWS CloudTrail pour l'audit des appels d'API et des connexions dans tous les comptes, et Security Hub pour la surveillance de la conformité aux meilleures pratiques de sécurité, y compris FSBP. Account Factory garantit que les nouveaux comptes sont créés avec les configurations de sécurité et de conformité requises. Cette approche minimise les frais opérationnels car Control Tower gère la plupart des configurations et des gardes-fous. Déployer Control Tower dans un compte membre dédié n'est pas la pratique recommandée et peut entraîner des complications de gestion des permissions et de la gouvernance centrale. Les options impliquant AWS Managed Services (AMS) Accelerate sont incorrectes car AMS est un service de gestion d'opérations qui n'est pas la solution la plus directe pour la mise en place d'une zone d'atterrissage et la conformité initiale, et les RFC (Request for Change) introduisent une surcharge opérationnelle significative, contrairement à l'exigence de "minimum de travail".