BlueFerry Insurance gebruikt AWS Organizations met 40 accounts in meerdere Regio's. Compliance vereist een enkele Security Hub-weergave in account SecAdmin (us-east-1) die bevindingen van alle lidaccounts en Regio's aggregeert met minimale operationele overhead en zonder aangepaste cross-account forwarding. Wat moet de security architect doen?

De correcte optie beschrijft de standaard en meest efficiënte methode voor het aggregeren van Security Hub-bevindingen in een AWS Organizations-omgeving. Door SecAdmin aan te wijzen als gedelegeerde beheerder, kan deze centraal Security Hub inschakelen voor alle accounts en regio's. De cross-Region finding aggregator in SecAdmin us-east-1 verzamelt vervolgens automatisch bevindingen uit alle ingeschakelde regio's, wat voldoet aan de eis van minimale operationele overhead en geen aangepaste cross-account forwarding. De andere opties zijn minder geschikt: EventBridge-regels vereisen aanzienlijke configuratie en onderhoud in elk account en elke regio, wat in strijd is met "minimale operationele overhead". AWS Config aggregators zijn bedoeld voor AWS Config-conformiteitsstatus en -wijzigingen, niet voor Security Hub-bevindingen. Security Hub haalt niet automatisch bevindingen uit andere regio's op naar de thuisregio zonder expliciete configuratie van een cross-Region aggregator.