Bir şirket, AWS Organizations'ı (tüm özellikler etkin) kullanmaktadır. Şirket, mevcut ve yeni tüm AWS hesaplarındaki tüm API çağrılarının ve oturum açma işlemlerinin denetlenmesini istiyor, minimum ek iş ve maliyetle yönetilen bir çözüm arıyor ve herhangi bir hesabın AWS Foundational Security Best Practices (FSBP) standardına uymadığında bildirim almak istiyor. Hangi çözüm bunu en az operasyonel yük ile sağlar?

Doğru cevap, AWS Control Tower'ı Organizations yönetim hesabında dağıtmak ve AWS Security Hub ile AWS Control Tower Account Factory'yi etkinleştirmektir. Control Tower, çoklu hesap ortamları için en iyi uygulamaları uygulayan yönetilen bir landing zone sağlar. Security Hub, FSBP uyumluluğunu denetler ve bildirimler gönderir. Account Factory, yeni hesapların otomatik olarak uyumlu bir şekilde oluşturulmasını sağlar. Bu, minimum operasyonel yük ile istenen denetim ve uyumluluk gereksinimlerini karşılar. Diğer seçenekler neden yanlış: Özel bir üye hesabında Control Tower dağıtmak, yönetim hesabının yeteneklerinden tam olarak yararlanmayı engeller ve daha karmaşık bir yapı oluşturur. AWS Managed Services (AMS) Accelerate kullanmak, daha yüksek bir maliyet ve AMS'nin yönetilen hizmet modeline bağımlılık getirir. Ayrıca, GuardDuty veya Security Hub'ı self-service sağlamak için RFC göndermek, istenen "minimum ek iş" hedefine aykırıdır ve Control Tower'ın sunduğu entegre çözüme kıyasla daha fazla operasyonel yük demektir.