Firma korzysta z AWS Organizations (wszystkie funkcje włączone). Firma wymaga audytu wszystkich wywołań API i logowań na każdym istniejącym i nowym koncie AWS, chce zarządzanego rozwiązania z minimalnym dodatkowym nakładem pracy i kosztami, a także potrzebuje powiadomień, gdy którekolwiek konto nie jest zgodne ze standardem AWS Foundational Security Best Practices (FSBP). Które rozwiązanie zapewnia to z najmniejszym obciążeniem operacyjnym?

Prawidłowa odpowiedź to wdrożenie AWS Control Tower na koncie zarządzającym Organizations, włączenie AWS Security Hub i AWS Control Tower Account Factory. AWS Control Tower automatyzuje tworzenie i zarządzanie bezpieczną, wielokontową strefą docelową, zapewniając scentralizowane logowanie (poprzez AWS CloudTrail i AWS Config) oraz zarządzanie kontami. Włączenie Security Hub zapewnia zgodność z FSBP i powiadomienia o niezgodnościach. Account Factory zapewnia, że nowe konta są automatycznie zgodne. Wdrożenie Control Tower na koncie zarządzającym jest standardową praktyką, ponieważ to konto ma uprawnienia do tworzenia i zarządzania innymi kontami członkowskimi w organizacji. Pozostałe opcje są nieprawidłowe, ponieważ: Wdrożenie Control Tower na dedykowanym koncie członkowskim jest niezgodne z najlepszymi praktykami i może prowadzić do problemów z uprawnieniami i zarządzaniem. Użycie AWS Managed Services (AMS) Accelerate jest rozwiązaniem zarządzanym przez AWS, które wymaga zgłaszania Request for Change (RFC) w celu wdrożenia usług takich jak GuardDuty czy Security Hub, co zwiększa obciążenie operacyjne i nie jest tak zautomatyzowane jak Control Tower w kontekście tworzenia nowych kont i zapewniania zgodności.