U moet een kernset van beveiligings-baselineresources toepassen op bestaande AWS-accounts in een Organisatie. Accountteams hebben AdministratorAccess per account. CloudTrail en AWS Config moeten in alle Regio's zijn ingeschakeld en baselineresources mogen niet bewerkbaar of verwijderbaar zijn door individuele accountbeheerders, maar die beheerders moeten wel hun eigen CloudTrail trails en AWS Config rules kunnen bewerken/verwijderen. Welke oplossing is operationeel het meest efficiënt?

De correcte optie gebruikt CloudFormation StackSets vanuit het managementaccount om de baselineresources (CloudTrail en AWS Config) consistent in alle accounts te implementeren. Een Service Control Policy (SCP) is essentieel om te voorkomen dat individuele accountbeheerders deze specifieke baselineresources wijzigen of verwijderen, terwijl het hen wel toestaat om hun eigen trails en regels te beheren. Dit voldoet aan alle vereisten. De andere opties zijn minder efficiënt of voldoen niet volledig aan de eisen: Het instellen van een stackbeleid in CloudFormation StackSets is niet voldoende om te voorkomen dat beheerders de resources bewerken of verwijderen, aangezien zij nog steeds de StackSet kunnen bijwerken of verwijderen. AWS Control Tower is een goede optie voor nieuwe accounts, maar het registreren van bestaande accounts kan complex zijn en biedt niet de granulaire controle over het voorkomen van wijzigingen aan specifieke baselineresources door accountbeheerders, terwijl ze wel hun eigen resources mogen beheren. Het aanwijzen van een AWS Config-managementaccount en het maken van een CloudTrail organization trail is een goede stap, maar het SCP dat wijziging of verwijdering van AWS Config recorders weigert, zou ook de beheerders van het managementaccount kunnen blokkeren, en het voorziet niet in de uitzondering voor individuele trails/regels.