Een bedrijf gebruikt een organisatie in AWS Organizations met een dedicated security-account. Alle activiteiten in alle member-accounts moeten centraal worden gelogd naar het dedicated security-account en veilig worden bewaard gedurende 2 jaar, zonder dat verwijderingen of wijzigingen zijn toegestaan. Welke combinatie van stappen voldoet aan deze vereisten met de minste operationele overhead? (Kies twee.)

De combinatie van een AWS CloudTrail organization trail en een S3-bucket met Object Lock in compliance-modus is de meest efficiënte oplossing. Een organization trail logt alle activiteiten van alle member-accounts centraal naar één S3-bucket in het security-account, wat de operationele overhead minimaliseert. S3 Object Lock in compliance-modus voorkomt dat logs gedurende 2 jaar worden verwijderd of gewijzigd, zelfs niet door de root-gebruiker, wat voldoet aan de onveranderlijkheidsvereiste. Het bucketbeleid moet de member-accounts toestaan om naar de bucket te schrijven. Het instellen van een S3 Lifecycle-configuratie (optie 3) voldoet niet aan de onveranderlijkheidsvereiste, omdat objecten weliswaar na 2 jaar verlopen, maar ze daarvoor nog steeds handmatig verwijderd of gewijzigd kunnen worden. Het handmatig inschakelen van CloudTrail in elk account en het gebruik van Lambda/Kinesis (optie 5) is complexer en genereert meer operationele overhead dan een organization trail. Het instellen van het bucketbeleid om alleen het management-account toegang te geven (optie 1) is onjuist; de member-accounts moeten direct naar de bucket kunnen schrijven via de organization trail.