ある会社がAWS Organizationsで複数のAWSアカウントを管理しています。セキュリティチームは、一部のメンバーアカウントがAWS CloudTrailログを一元化されたAmazon S3ロギングバケットに送信していないことに気づきました。チームは、既存のすべてのアカウントと新規アカウントに少なくとも1つのトレイルが設定されていることを確認する必要があります。チームはどのようなアクションを実行すべきですか？

AWS Organizationsの管理アカウントで組織トレイルを作成または既存のトレイルを編集し、組織に適用することで、すべての既存および新規のメンバーアカウントに自動的にCloudTrailログが設定されます。これにより、一元化されたS3バケットにログが配信され、セキュリティチームはすべてのCloudTrailログを一元的に管理できます。 他の選択肢は不適切です。 新しいトレイルを作成し、EventBridgeで通知を設定するだけでは、すべてのメンバーアカウントにトレイルが適用されません。 すべてのアカウントにLambda関数をデプロイするのは、組織トレイルの機能と比較して運用が複雑で非効率です。 SCPでcloudtrail:Deleteやcloudtrail:Stopアクションを拒否しても、トレイルがそもそも存在しないアカウントには効果がありません。