A empresa gerencia muitas contas no Organizations e deseja que controles preventivos e detectivos sejam aplicados agora e automaticamente a quaisquer contas criadas posteriormente. Qual solução fornece guardrails para contas atuais e futuras?

A implantação de uma landing zone do AWS Control Tower é a solução mais abrangente para aplicar controles preventivos e detectivos em contas atuais e futuras. O Control Tower automatiza a configuração de um ambiente multi-contas seguro e compatível, utilizando AWS Organizations, AWS Config e AWS IAM Identity Center. Ele permite registrar contas existentes e provisionar novas contas já com os guardrails configurados, garantindo consistência e conformidade desde o início. As outras opções são menos eficazes: Usar apenas SCPs (Service Control Policies) com OUs (Organizational Units) é uma boa prática para controles preventivos, mas não oferece os controles detectivos automatizados e a governança de provisionamento de contas que o Control Tower proporciona. CloudFormation StackSets para regras do AWS Config exigiria gerenciamento manual para novas contas e não oferece a mesma automação de guardrails preventivos. Configurar o AWS Config com regras em toda a organização e pacotes de conformidade é excelente para controles detectivos e remediação, mas não inclui os controles preventivos e a automação de provisionamento de contas que o Control Tower oferece.