ある企業がオンプレミスからAWSに移行し、AWS Organizationsで管理されている複数のAWSアカウントを使用する予定です。最初はいくつかのアカウントを作成し、後でさらに追加します。ソリューションアーキテクトは、すべてのAWSアカウントでAWS CloudTrailを有効にする必要があります。組織全体でCloudTrailを有効にするための、最も運用効率の高い設計は何ですか？

正解は、組織の管理アカウントに単一のCloudTrailトレイルを作成し、組織内のすべてのAWSアカウントのイベントをログに記録するように設定することです。これは、AWS Organizationsの組織トレイル機能を利用した最も運用効率の高い方法です。管理アカウントで組織トレイルを設定すると、既存および新規のすべてのメンバーアカウントのイベントが自動的に記録されます。 他の選択肢は運用効率が低いです。Lambda関数やSystems Manager Automationランブックを使用する方法は、カスタムコードの管理とメンテナンスが必要になり、オーバーヘッドが増加します。また、新しいアカウントが追加されるたびに手動または自動でトレイルを作成するプロセスが必要になります。各アカウントに個別のトレイルを作成し、SCPで保護する方法は、管理が複雑になり、組織トレイルのシンプルさに劣ります。