Учетная запись автоматизации запускает конвейер CI/CD, который создает новые учетные записи AWS в AWS Organization. Набор внутренних сервисных команд работает из отдельных сервисных учетных записей и хочет получать события CloudTrail в своих сервисных учетных записях всякий раз, когда учетная запись автоматизации вызывает API CreateAccount для создания новой учетной записи. Каков правильный способ поделиться этими событиями создания учетной записи с сервисными учетными записями?

Правильный ответ использует стандартную шину событий EventBridge в каждой сервисной учетной записи, что является наиболее простым и эффективным способом обмена событиями между учетными записями. Создание правила EventBridge в учетной записи автоматизации позволяет фильтровать события CreateAccount из CloudTrail и отправлять их в шины событий по умолчанию в целевых сервисных учетных записях. Обновление политики шины событий по умолчанию в каждой сервисной учетной записи необходимо для предоставления разрешений учетной записи автоматизации на отправку событий. Остальные варианты менее оптимальны: Создание настраиваемой шины событий в каждой сервисной учетной записи (вариант 2) добавляет ненужную сложность, так как стандартная шина событий уже существует и может быть использована. Создание настраиваемых шин событий как в учетной записи автоматизации, так и в сервисных учетных записях (вариант 3) также излишне усложняет архитектуру. Создание настраиваемой шины событий только в учетной записи автоматизации (вариант 4) не является лучшей практикой, так как стандартная шина событий в целевых учетных записях является предпочтительным местом для получения внешних событий.