Uma empresa usa o AWS Control Tower com o AWS Organizations e deseja restringir as contas de desenvolvimento (organizadas em uma OU específica) para que elas possam iniciar apenas tipos de instância EC2 e RDS burstable e não possam usar serviços não relacionados. Os desenvolvedores têm muitas contas de desenvolvimento individuais. Qual abordagem um arquiteto de soluções deve recomendar para impor essas restrições?

A resposta correta é criar um controle preventivo (guardrail) personalizado no AWS Control Tower. Controles preventivos são implementados como Service Control Policies (SCPs) no AWS Organizations e são a maneira mais eficaz de impor restrições de forma proativa, impedindo que as ações proibidas ocorram. Ao aplicar este controle à OU de desenvolvimento, todas as contas dentro dela serão impedidas de iniciar instâncias EC2 e RDS não burstable e de usar serviços não relacionados. A opção de criar uma SCP personalizada diretamente no AWS Organizations é tecnicamente possível, mas o AWS Control Tower já oferece uma estrutura para gerenciar e implantar essas políticas como guardrails, tornando a abordagem mais integrada e gerenciável dentro do ecossistema do Control Tower. Controles de detecção (guardrails) são reativos, ou seja, eles alertam sobre violações após elas ocorrerem, o que não impede o uso de recursos não conformes. Uma regra do AWS Config é uma ferramenta de auditoria e conformidade, não de prevenção, e não impediria a criação de recursos.