Архитектор решений разрабатывает средства контроля безопасности для учетных записей разработчиков, созданных в AWS Organizations. Разработчики будут иметь доступ уровня root user к своим собственным учетным записям, но архитектор должен гарантировать, что обязательная конфигурация AWS CloudTrail, применяемая к новым учетным записям разработчиков, не может быть изменена. Какое действие соответствует этому требованию?

Правильный ответ — создание политики управления сервисами (SCP), которая запрещает изменения в CloudTrail, и прикрепление ее к учетным записям разработчиков. SCP применяются ко всем сущностям в учетной записи, включая root user, и не могут быть переопределены политиками IAM, что обеспечивает неизменяемость конфигурации CloudTrail. Неправильные варианты: Создание политики IAM и прикрепление ее к root user не сработает, так как root user по умолчанию имеет полный доступ и может отменить любые политики IAM, прикрепленные к нему. Создание нового трейла в CloudTrail из учетных записей разработчиков с включенной опцией organization trails не решает проблему запрета изменений. Разработчики все равно смогут изменять или удалять этот трейл, если у них есть соответствующие разрешения. Создание связанной с сервисом роли для CloudTrail с условием политики, которое разрешает изменения только из ARN в управляющей учетной записи, не является эффективным решением. Service-linked roles предназначены для предоставления разрешений сервисам AWS, а не для ограничения действий root user или других пользователей в дочерних учетных записях. SCP — это единственный способ гарантировать неизменяемость для root user в дочерних учетных записях.