Een bedrijf migreert van on-premises naar AWS en zal meerdere AWS-accounts gebruiken die worden beheerd onder AWS Organizations. Ze zullen in eerste instantie een paar accounts aanmaken en later meer toevoegen. Een solutions architect moet AWS CloudTrail inschakelen voor alle accounts. Wat is het MEEST operationeel efficiënte ontwerp om CloudTrail in de hele organisatie in te schakelen?

De meest operationeel efficiënte methode is om een organisatie-brede CloudTrail-trail aan te maken vanuit het managementaccount. Dit logt alle gebeurtenissen van alle accounts in de organisatie naar een centrale S3-bucket, wat het beheer en de auditing vereenvoudigt. De optie met een Lambda-functie is minder efficiënt omdat het per account trails aanmaakt en onderhoud vereist voor de Lambda-functie zelf. Het handmatig aanmaken van trails per account is schaalbaar, maar vereist meer handmatige inspanning en is foutgevoeliger. Een SCP kan weliswaar het verwijderen voorkomen, maar lost het initiële aanmaakprobleem niet op. Het gebruik van AWS Systems Manager Automation runbooks is een geldige optie voor automatisering, maar een organisatie-brede trail via het managementaccount is de ingebouwde en meest gestroomlijnde oplossing voor dit specifieke scenario.