Uma empresa com centenas de contas AWS tem aquisição centralizada para Reserved Instances (RIs). As unidades de negócio devem enviar solicitações de compra ou modificação de RI para uma equipe de aquisição central; anteriormente, as unidades de negócio realizavam compras/alterações de RI diretamente em suas contas. Um arquiteto de soluções deve aplicar este novo processo de forma segura. Qual combinação de passos deve ser tomada? (Escolha duas.)

Consolidar todas as contas AWS no AWS Organizations com todos os recursos habilitados é essencial para gerenciar centralizadamente permissões e políticas em várias contas. Isso permite a aplicação de Service Control Policies (SCPs). Criar uma SCP que negue as ações ec2:PurchaseReservedInstancesOffering e ec2:ModifyReservedInstances e anexá-la a cada Unidade Organizacional (OU) é a maneira mais eficaz de impor a aquisição centralizada de RIs. SCPs funcionam como guard-rails, negando explicitamente essas ações para todas as contas dentro das OUs, independentemente das políticas IAM internas. A opção de criar uma política IAM em cada conta é inviável para centenas de contas e pode ser facilmente contornada por administradores de conta. Usar o AWS Config para detectar políticas IAM não impede a ação, apenas a relata. O faturamento consolidado é importante para a organização, mas não impõe restrições de permissão.