Un'azienda migrerà da un ambiente on-premise ad AWS e utilizzerà più account AWS gestiti tramite AWS Organizations. Inizialmente creerà alcuni account e ne aggiungerà altri in seguito. Un architetto di soluzioni deve abilitare AWS CloudTrail per tutti gli account. Qual è il design più efficiente dal punto di vista operativo per abilitare CloudTrail in tutta l'organizzazione?

La risposta corretta è creare un singolo trail CloudTrail nell'account di gestione dell'organizzazione e configurarlo per registrare gli eventi per tutti gli account AWS nell'organizzazione. Questa è la soluzione più efficiente dal punto di vista operativo perché CloudTrail supporta i trail a livello di organizzazione, che consolidano i log di tutti gli account membri in un unico bucket S3 nell'account di gestione. Ciò semplifica la gestione e la centralizzazione del logging per l'intera organizzazione, inclusi i nuovi account aggiunti in futuro. Creare una funzione Lambda o un runbook di Systems Manager per creare trail in ogni account è meno efficiente perché richiede la gestione di codice o automazioni e non si adatta automaticamente ai nuovi account senza ulteriori configurazioni. Creare trail separati in ogni account e utilizzare SCP è fattibile ma meno efficiente rispetto a un trail a livello di organizzazione, poiché richiede la gestione di più trail e bucket S3.