Een solutions architect ontwerpt beveiligingscontroles voor ontwikkelaarsaccounts die zijn aangemaakt onder AWS Organizations. Ontwikkelaars krijgen root user-niveau toegang tot hun eigen accounts, maar de architect moet ervoor zorgen dat de verplichte AWS CloudTrail-configuratie die op nieuwe ontwikkelaarsaccounts wordt toegepast, niet kan worden gewijzigd. Welke actie voldoet aan deze vereiste?

Een Service Control Policy (SCP) is de juiste keuze omdat het een krachtig mechanisme is binnen AWS Organizations om permissies voor alle accounts in een organisatie te beheren. SCP's kunnen root user-toegang beperken, wat essentieel is in dit scenario, aangezien ontwikkelaars root-niveau toegang hebben. Door een SCP te maken dat wijzigingen in CloudTrail verbiedt en dit aan de ontwikkelaarsaccounts te koppelen, wordt gegarandeerd dat de verplichte CloudTrail-configuratie niet kan worden gewijzigd, zelfs niet door de root user van het account. Het aanmaken van een IAM-beleid dat wijzigingen in CloudTrail verbiedt en dit aan de root user koppelen, werkt niet omdat de root user standaard alle permissies heeft en een IAM-beleid dat aan de root user is gekoppeld, zichzelf kan overschrijven. Het aanmaken van een nieuwe trail in CloudTrail vanuit de ontwikkelaarsaccounts met de optie voor organisatie trails ingeschakeld, garandeert niet dat de configuratie niet kan worden gewijzigd. Een service-linked role voor CloudTrail met een beleidsconditie die wijzigingen alleen toestaat vanaf een ARN in het management account, is niet de meest directe of effectieve manier om root user-toegang te beperken en de CloudTrail-configuratie te beschermen.