Un architetto di soluzioni sta progettando controlli di sicurezza per gli account sviluppatore creati in AWS Organizations. Gli sviluppatori avranno accesso a livello di utente root ai propri account, ma l'architetto deve garantire che la configurazione obbligatoria di AWS CloudTrail applicata ai nuovi account sviluppatore non possa essere modificata. Quale azione soddisfa questo requisito?

La risposta corretta è "Creare una service control policy (SCP) che proibisca le modifiche a CloudTrail e allegarla agli account sviluppatore." Le SCP sono un tipo di policy di AWS Organizations che consentono di gestire le autorizzazioni a livello di organizzazione. Possono essere utilizzate per limitare le autorizzazioni per tutti gli account membri, inclusi gli utenti root, garantendo che la configurazione di CloudTrail non possa essere modificata. Le altre opzioni non sono valide: Una policy IAM non può limitare le azioni dell'utente root. La creazione di un trail con l'opzione "organization trails" abilitata non impedisce la modifica o l'eliminazione del trail stesso da parte dell'utente root dell'account membro. Un ruolo collegato al servizio non è la soluzione appropriata per imporre restrizioni a livello di organizzazione sull'utente root.