Ein Unternehmen nutzt AWS Organizations, um mehrere AWS-Konten für Personalwesen, Finanzen, Softwareentwicklung und Produktion zu verwalten. Alle Entwickler befinden sich im Softwareentwicklungs-Konto. Einige Entwickler haben Amazon EC2-Instances mit nicht genehmigter Software gestartet. Das Unternehmen muss sicherstellen, dass Entwickler EC2-Instances nur mit genehmigten Anwendungen und nur im Softwareentwicklungs-Konto starten können. Welche Lösung erfüllt diese Anforderungen?

Die Verwendung von AWS Service Catalog ist die effektivste Lösung. Service Catalog ermöglicht es, genehmigte Produkte (in diesem Fall EC2-Instances mit spezifischen AMIs, die nur genehmigte Software enthalten) zu definieren und den Entwicklern nur den Start dieser Produkte zu erlauben. Dies stellt sicher, dass nur genehmigte Software verwendet wird und die Kontrolle über die Bereitstellung im Softwareentwicklungs-Konto bleibt. Die Option mit CloudFormation-Vorlagen pro Region ist umständlich zu verwalten und bietet keine zentrale Kontrolle über die Bereitstellung. Eine EventBridge-Regel mit Systems Manager Run Command würde die Software nach dem Start installieren, was die Anforderung, dass nur genehmigte Software gestartet werden kann, nicht erfüllt. Das Erstellen von AMIs im Management-Konto und die Bereitstellung über StackSets ist für die Kontrolle der Entwickler über den Start von Instances nicht geeignet und würde ihnen unnötige Berechtigungen im Management-Konto geben.