Вам необходимо применить базовый набор ресурсов безопасности ко всем существующим аккаунтам AWS в Организации. Команды аккаунтов имеют AdministratorAccess для каждого аккаунта. CloudTrail и AWS Config должны быть включены во всех регионах, а базовые ресурсы не должны быть редактируемыми или удаляемыми отдельными администраторами аккаунтов, но этим администраторам должно быть разрешено редактировать/удалять свои собственные CloudTrail trails и AWS Config rules. Какое решение является наиболее операционно эффективным?

Правильный ответ — создание шаблона CloudFormation для стандартных ресурсов, его развертывание во всех аккаунтах с помощью CloudFormation StackSets и применение SCP, запрещающего изменения CloudTrail/AWS Config, если субъект не является администратором управляющего аккаунта. Это обеспечивает централизованное развертывание и неизменяемость базовых ресурсов, при этом позволяя администраторам аккаунтов управлять своими собственными трейлами и правилами. Неверные варианты: Использование политики стека CloudFormation StackSets (Update:Delete) не позволяет администраторам аккаунтов изменять свои собственные трейлы и правила, что противоречит требованиям. AWS Control Tower не предоставляет гибкости для разрешения администраторам аккаунтов изменять свои собственные трейлы и правила, так как он навязывает строгие базовые конфигурации. Назначение управляющего аккаунта AWS Config и использование SCP для предотвращения изменения рекордеров AWS Config не позволяет администраторам аккаунтов изменять свои собственные правила AWS Config.