Ein Unternehmen nutzt mehrere AWS-Konten für die Entwicklung. Einige Mitarbeiter starten wiederholt überdimensionierte Amazon EC2-Instances, wodurch die Entwicklungskonten das Jahresbudget überschreiten. Das Unternehmen möchte zentral einschränken, welche AWS-Ressourcen in diesen Konten erstellt werden können. Welche Lösung erfüllt die Anforderung mit dem geringsten Entwicklungsaufwand?

Die Verwendung von AWS Organizations mit Service Control Policies (SCPs) ist die effektivste und aufwandsärmste Lösung. SCPs ermöglichen es Ihnen, Berechtigungen auf Organisationseinheits- (OU) oder Kontoebene zentral zu steuern, indem Sie explizit festlegen, welche Aktionen oder Ressourcentypen nicht zulässig sind. Dies verhindert, dass Benutzer in den betroffenen Konten überdimensionierte EC2-Instances starten, selbst wenn ihre IAM-Berechtigungen dies zulassen würden. Die anderen Optionen sind weniger effizient: AWS Systems Manager-Vorlagen erfordern, dass alle Benutzer diese Vorlagen verwenden, was eine Verhaltensänderung erzwingt und nicht das Starten von Instances außerhalb dieser Vorlagen verhindert. Eine Amazon EventBridge-Regel mit Lambda stoppt Instances erst nach dem Start, was zu unnötigen Kosten und Verwaltungsaufwand führt. AWS Service Catalog ist gut für die Bereitstellung genehmigter Ressourcen, erfordert aber, dass Benutzer ihn verwenden, und verhindert nicht das Starten von Instances außerhalb des Katalogs.