Ein Unternehmen muss Ressourcen und Workloads sicher über mehrere AWS-Konten innerhalb einer AWS Organizations-Organisation bereitstellen. Das Unternehmen wird Infrastructure as Code (IaC) mit AWS CloudFormation verwalten, wobei nur genehmigte Architekturmuster verwendet werden. Das Unternehmen muss außerdem eine obligatorische Tagging- und spezifische Konfigurationsstandards für die Ressourcenerstellung durchsetzen. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist die Verwendung von AWS Service Catalog mit CloudFormation, da dies die Bereitstellung genehmigter Architekturmuster über mehrere Konten hinweg ermöglicht und gleichzeitig die Governance gewährleistet. Service Catalog bietet eine zentrale Verwaltung für genehmigte CloudFormation-Vorlagen (Produkte) und Portfolios, die dann organisationsweit geteilt werden können. AWS Config-Regeln sind ideal, um obligatorische Tagging- und spezifische Konfigurationsstandards durchzusetzen, indem sie kontinuierlich die Konformität von Ressourcen überwachen. Die anderen Optionen sind weniger umfassend oder ungeeignet: CloudFormation-Stack-Richtlinien verhindern nur Updates an Stacks, nicht die anfängliche Erstellung von nicht konformen Ressourcen. EventBridge erkennt API-Aufrufe, erzwingt aber keine Konfiguration. AWS CodePipeline ist für CI/CD, aber nicht primär für die Durchsetzung von Architekturmustern oder Konfigurationsstandards. SCPs können die Erstellung bestimmter Ressourcen verhindern, sind aber weniger granular für Konfigurationsdetails als AWS Config. IAM-Berechtigungsgrenzen steuern, was eine Identität tun kann, aber nicht die Konfiguration der erstellten Ressourcen selbst. Sie sind auch nicht direkt für die Durchsetzung von Tagging-Standards über alle Ressourcen hinweg konzipiert.