Una grande organizzazione con più account AWS sotto AWS Organizations deve controllare l'accesso a S3 usando la AWS CLI, monitorare l'attività su tutti i bucket S3 per individuare problemi e impedire agli utenti dell'account di disabilitare CloudTrail. Quale configurazione soddisfa questi requisiti?

La risposta corretta è creare un CloudTrail a livello di organizzazione che invia i log a CloudWatch nell'account di gestione, abilitare la registrazione degli eventi di dati S3 per tutti i bucket, usare il rilevamento delle anomalie di CloudWatch tra gli account e usare CloudWatch Metrics Insights per eseguire query SQL sulle metriche derivate da CloudTrail. Un CloudTrail a livello di organizzazione consolida i log da tutti gli account membri in un unico account di gestione, impedendo agli utenti degli account membri di disabilitarlo e fornendo una vista centralizzata. L'abilitazione della registrazione degli eventi di dati S3 è necessaria per monitorare le operazioni a livello di oggetto sui bucket S3. L'invio dei log a CloudWatch consente il monitoraggio e il rilevamento delle anomalie. CloudWatch Metrics Insights è uno strumento potente per interrogare i log con SQL. Le altre opzioni sono meno efficienti o non soddisfano tutti i requisiti: creare un trail in ogni account non impedisce la disabilitazione e non centralizza i log, mentre l'uso di GuardDuty o soluzioni personalizzate per il rilevamento delle anomalie non è la soluzione più completa per questo specifico scenario.