Глобальный поставщик SaaS управляет своей платформой в нескольких аккаунтах AWS, объединенных в AWS Organizations. Все вызовы API к ресурсам AWS должны быть проверены, отслеживаться на предмет изменений и надежно и безопасно храниться для соблюдения нормативных требований. Решение должно минимизировать операционные издержки. Какой подход соответствует этим требованиям?

Правильный ответ — создание трейла CloudTrail в управляющей учетной записи организации, который применяется ко всем учетным записям. Это централизует аудит всех действий API в организации, минимизируя операционные издержки. Использование нового бакета S3 с включенным версионированием, MFA delete и шифрованием обеспечивает надежное и безопасное хранение журналов, а также защиту от случайного или злонамеренного удаления, что критично для соблюдения нормативных требований. Неправильные варианты: Создание трейла в управляющей учетной записи, использующего существующий бакет S3, может быть неоптимальным, если бакет не настроен с версионированием и соответствующими политиками безопасности. Создание отдельных трейлов в каждом дочернем аккаунте увеличивает операционные издержки и усложняет централизованный аудит. Отправка уведомлений SNS во внешнюю систему не заменяет централизованное хранение и аудит, а является дополнительной функцией.