Firma zarządza wieloma kontami AWS za pomocą AWS Organizations. Zespół bezpieczeństwa zauważa, że niektóre konta członkowskie nie wysyłają logów AWS CloudTrail do scentralizowanego zasobnika Amazon S3. Zespół musi zapewnić, że każde istniejące konto i każde nowe konto ma skonfigurowany co najmniej jeden ślad. Jakie działania powinien podjąć zespół?

Prawidłowa odpowiedź to edycja istniejącego śladu na koncie zarządzającym Organizations i zastosowanie go do organizacji. CloudTrail obsługuje ślady organizacji, które automatycznie tworzą ślad na każdym koncie członkowskim w organizacji, w tym na nowo dodanych kontach. Zapewnia to scentralizowane logowanie do jednego zasobnika S3. Tworzenie nowego śladu i używanie EventBridge do powiadomień nie gwarantuje, że wszystkie konta będą miały ślad, ani nie rozwiązuje problemu z nowymi kontami. Wdrażanie funkcji Lambda na każdym koncie jest nieefektywne i trudne do zarządzania w dużej organizacji. Polityka kontroli usług (SCP) odmawiająca akcji CloudTrail:Delete i CloudTrail:Stop zapobiega usunięciu lub zatrzymaniu śladów, ale nie zapewnia, że ślady zostaną utworzone na kontach, które ich nie mają.