正在使用多個 AWS 帳戶。希望從稽核用帳戶集中確認各帳戶的設定變更歷程。最為適切的服務為何?

解析

AWS CloudTrail 會記錄 AWS 帳戶內的 API 操作歷程。透過集中組織整體的證跡,即可用於稽核。

各選項解析

實際使用情境

AWS CloudTrail 是用於記錄 AWS 帳戶內所發生的 API 操作、主控台操作、透過 SDK 進行之操作的稽核日誌服務。管理事件(如建立 IAM 使用者、啟動 EC2、刪除 S3 儲存貯體等)預設保留 90 天,若另行建立將證跡儲存至 S3 儲存貯體的 Trail,即可對應更長期的稽核要求。與 AWS Organizations 搭配並啟用 Organization Trail 後,可將組織下所有帳戶的證跡集中至單一的 S3 儲存貯體(管理帳戶/委派管理帳戶),便可從稽核用帳戶橫向確認。 與類似服務的區分使用為常見考點。CloudWatch 以收集與視覺化指標與日誌(應用程式日誌、系統日誌)為主要目的;AWS Config 以資源設定的變更歷程,以及「設定是否符合合規規則」的持續評估為主要目的;CloudTrail 則以「誰在何時呼叫了哪個 API」的操作證跡為主要目的。將三者組合,以偵測(CloudWatch Logs Insights / EventBridge 規則)、評估(Config Rules)、追蹤(CloudTrail)構成的,正是企業稽核的基本形態。 SAA-C03 中,在「希望集中確認多帳戶的操作歷程」「希望集中 API 呼叫證跡以供稽核」等要求下,CloudTrail(Organization Trail)為正解。容易出現混淆 CloudWatch / Config 的誤答,尤其「設定變更歷程」的措辭會讓人聯想到 Config,但若希望連同 API 呼叫證跡一併「追蹤變更」,則需要 CloudTrail。