Bir çözümler mimarı, AWS Organizations altında oluşturulan geliştirici hesapları için güvenlik kontrolleri tasarlıyor. Geliştiriciler kendi hesaplarında root user düzeyinde erişime sahip olacaklar, ancak mimarın yeni geliştirici hesaplarına uygulanan zorunlu AWS CloudTrail yapılandırmasının değiştirilememesini sağlaması gerekiyor. Hangi eylem bu gereksinimi karşılar?

Doğru cevap, CloudTrail'de değişiklikleri yasaklayan bir hizmet kontrol politikası (SCP) oluşturmak ve bunu geliştirici hesaplarına eklemektir. SCP'ler, AWS Organizations içindeki tüm hesaplar için izinleri merkezi olarak yönetmenize olanak tanır ve root kullanıcı dahil olmak üzere tüm kimlikler üzerinde etkilidir. Bu, geliştiricilerin root erişimine sahip olsalar bile CloudTrail yapılandırmasını değiştirmelerini engeller. Diğer seçenekler neden yanlış: CloudTrail'de değişiklikleri yasaklayan bir IAM politikası oluşturmak ve bunu root user'a eklemek işe yaramaz, çünkü root user'ın izinleri kısıtlanamaz ve IAM politikaları root user üzerinde etkili değildir. Geliştirici hesapları içinden, organization trails seçeneği etkinleştirilmiş olarak CloudTrail'de yeni bir trail oluşturmak, mevcut zorunlu CloudTrail yapılandırmasının değiştirilmesini engellemez. Yalnızca yönetim hesabındaki bir Amazon Resource Name (ARN) kaynağından değişikliklere izin veren bir politika koşuluyla CloudTrail için hizmet bağlantılı bir rol oluşturmak, CloudTrail'in değiştirilmesini tamamen engellemez ve root user'ın bu rolü değiştirmesini önlemez.