Een solutions architect ontwerpt een multi-account AWS-oplossing met behulp van AWS Organizations en heeft accounts ingedeeld in organizational units (OU's). De architect moet wijzigingen in de OU-hiërarchie detecteren en het operations-team op de hoogte stellen van die wijzigingen met de MINSTE operationele overhead. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is het provisioneren van AWS-accounts met AWS Control Tower en het gebruiken van account drift-notificaties. Control Tower is ontworpen voor multi-account omgevingen en biedt ingebouwde detectie van afwijkingen (drift) van de gedefinieerde baselines, inclusief wijzigingen in de OU-hiërarchie, met minimale operationele overhead. Het gebruik van AWS Config aggregated rules is minder direct voor OU-hiërarchie wijzigingen en vereist meer configuratie. AWS Service Catalog en AWS CloudFormation zijn tools voor het provisioneren van accounts en resources, maar bieden geen out-of-the-box drift-detectie specifiek voor OU-wijzigingen in de context van Organizations met de lage operationele overhead van Control Tower. Een CloudTrail organization trail kan wijzigingen loggen, maar vereist extra mechanismen (zoals CloudWatch Events en Lambda) om proactief te waarschuwen, wat meer operationele overhead met zich meebrengt dan de ingebouwde drift-notificaties van Control Tower.