Een bedrijf beheert meerdere AWS-accounts met AWS Organizations. Het beveiligingsteam merkt op dat sommige member accounts geen AWS CloudTrail-logs naar een gecentraliseerde Amazon S3-loggingbucket sturen. Het team moet ervoor zorgen dat elk bestaand account en elk nieuw account ten minste één geconfigureerde trail heeft. Welke acties moet het team ondernemen?

De juiste actie is om in het Organizations-managementaccount de bestaande trail te bewerken en deze toe te passen op de organisatie. Dit creëert een organization trail die automatisch logt voor alle bestaande en toekomstige member accounts in de organisatie, waardoor centrale logging wordt afgedwongen. De andere opties zijn minder effectief of onvoldoende: Een nieuwe trail aanmaken en EventBridge gebruiken, lost het probleem van ontbrekende trails in andere accounts niet op en garandeert geen dekking voor nieuwe accounts. Het implementeren van Lambda-functies in elk account is complex en schaalt slecht; het is geen centrale, afgedwongen oplossing. Een SCP die Delete en Stop acties weigert, voorkomt wel het uitschakelen van trails, maar garandeert niet dat er überhaupt een trail bestaat of dat deze correct geconfigureerd is voor centrale logging.