Een grote organisatie met meerdere AWS-accounts onder AWS Organizations moet S3-toegang controleren met behulp van de AWS CLI, activiteit in alle S3-buckets monitoren op problemen en voorkomen dat accountgebruikers CloudTrail uitschakelen. Welke configuratie voldoet aan deze vereisten?

De correcte optie voldoet aan alle vereisten. Een organisatie-brede CloudTrail levert logs centraal aan het beheeraccount, wat voorkomt dat individuele accountgebruikers CloudTrail uitschakelen en zorgt voor een geconsolideerd overzicht. Het inschakelen van S3 data event logging registreert alle S3-toegang. CloudWatch-anomaliedetectie kan worden geconfigureerd voor alle accounts om afwijkingen in S3-activiteit te identificeren. CloudWatch Metrics Insights biedt een krachtige manier om SQL-query's uit te voeren op de afgeleide metrics van CloudTrail-logs, wat effectief is voor het controleren van S3-toegang. De andere opties zijn minder optimaal: Het maken van individuele CloudTrail trails in elk account biedt geen bescherming tegen het uitschakelen ervan door accountgebruikers en vereist meer beheer. GuardDuty is goed voor anomaliedetectie, maar CloudWatch-anomaliedetectie kan ook worden gebruikt voor CloudTrail-events. CloudWatch-anomaliedetectie in elk account is minder gecentraliseerd dan de organisatie-brede aanpak. Athena-query's op afgeleide metrics zijn niet zo direct als CloudWatch Metrics Insights voor dit specifieke doel. Een aangepaste oplossing voor anomaliedetectie is complexer en minder efficiënt dan het gebruik van ingebouwde AWS-services zoals CloudWatch-anomaliedetectie.