Компания использует организацию в AWS Organizations с выделенной учетной записью безопасности. Вся активность во всех дочерних учетных записях должна централизованно регистрироваться в выделенной учетной записи безопасности и надежно храниться в течение 2 лет без возможности удаления или изменения. Какая комбинация шагов соответствует этим требованиям с наименьшими операционными издержками? (Выберите два.)

Правильные варианты обеспечивают централизованное, неизменяемое хранение журналов с минимальными операционными издержками. Создание бакета S3 с S3 Object Lock в режиме соответствия (compliance mode) гарантирует, что журналы не могут быть удалены или изменены в течение 2 лет, что соответствует требованию неизменяемости. Разрешение дочерним учетным записям записывать в этот бакет позволяет централизовать сбор. Создание организационного трейла CloudTrail автоматически собирает журналы из всех учетных записей в организации и доставляет их в указанный бакет S3, что значительно снижает операционные издержки по сравнению с настройкой CloudTrail в каждой учетной записи. Неправильные варианты: Разрешение только управляющей учетной записи записывать в бакет S3 не позволит дочерним учетным записям отправлять свои журналы напрямую. Использование S3 Lifecycle для истечения срока действия объектов не обеспечивает неизменяемость; объекты могут быть удалены или изменены до истечения срока действия. Включение CloudTrail в каждой учетной записи и использование Lambda/Kinesis Data Firehose для пересылки журналов является более сложным и дорогостоящим решением, чем организационный трейл CloudTrail.