Un'azienda gestisce più account AWS con AWS Organizations. Il team di sicurezza nota che alcuni account membro non inviano i log di AWS CloudTrail a un bucket di logging centralizzato su Amazon S3. Il team deve assicurarsi che ogni account esistente e ogni nuovo account abbia almeno un trail configurato. Quali azioni dovrebbe intraprendere il team?

La risposta corretta è modificare un trail esistente nell'account di gestione di Organizations e applicarlo all'organizzazione. Questa è la soluzione più efficiente e scalabile per garantire che tutti gli account, inclusi quelli futuri, abbiano un trail configurato. Un trail organizzativo centralizza il logging di CloudTrail da tutti gli account membri in un unico bucket S3, semplificando la gestione della sicurezza. Le altre opzioni sono meno efficaci: Creare un nuovo trail e usare EventBridge per le notifiche non risolve il problema di garantire che ogni account abbia un trail, né quello di centralizzare il logging per l'intera organizzazione. Distribuire una funzione Lambda in ogni account è un approccio manuale e non scalabile, che richiede la gestione di codice in ogni account. Creare una Service Control Policy (SCP) che nega le azioni cloudtrail:Delete e cloudtrail:Stop aiuta a prevenire la disabilitazione dei trail, ma non garantisce che un trail sia già configurato in tutti gli account o che i log siano centralizzati.