Das Unternehmen möchte Entwickler daran hindern, eine bestimmte EC2-Instance-Familie über mehrere AWS-Konten hinweg zu starten, die mit AWS Organizations verwaltet werden. Welches ist der betrieblich effizienteste Weg, die Service Control Policy-Einschränkung auf all diese Konten anzuwenden?

Die effizienteste Methode ist, die Konten einer Organisationseinheit (OU) hinzuzufügen und die Service Control Policies (SCPs) auf die OU anzuwenden. SCPs werden von AWS Organizations verwendet, um Berechtigungen in allen Konten einer OU oder der gesamten Organisation zentral zu verwalten und einzuschränken. Durch die Anwendung auf die OU werden die Einschränkungen automatisch auf alle aktuellen und zukünftigen Konten innerhalb dieser OU angewendet, was den Verwaltungsaufwand minimiert. Die Anwendung von SCPs auf jedes einzelne Entwicklerkonto wäre ineffizient und fehleranfällig, insbesondere bei vielen Konten. AWS Resource Groups sind für die Verwaltung von Ressourcen innerhalb von Konten gedacht, nicht für die zentrale Durchsetzung von Berechtigungen über mehrere Konten hinweg. AWS Control Tower hilft bei der Einrichtung und Governance von Multi-Account-Umgebungen, aber SCPs werden direkt über AWS Organizations und OUs verwaltet, nicht primär über das Control Tower-Verwaltungskonto für diesen spezifischen Anwendungsfall.