Ein Unternehmen verwaltet mehrere AWS-Konten mit AWS Organizations. Regulatorische Vorschriften verlangen, dass bestimmte Mitgliedskonten auf einen vordefinierten Satz von AWS-Regionen beschränkt werden, in denen Ressourcen bereitgestellt werden können. Die Ressourcentaggung muss gemäß einem Gruppenstandard durchgesetzt und zentral mit minimaler Konfiguration verwaltet werden. Welchen Ansatz sollte ein Solutions Architect verwenden, um diese Anforderungen zu implementieren?

Die korrekte Antwort ist, die spezifischen Mitgliedskonten einer neuen Organisationseinheit (OU) zuzuordnen, eine Tag-Richtlinie anzuwenden und eine Service Control Policy (SCP) mit Bedingungen zur Einschränkung von Regionen zu verwenden. Eine OU ermöglicht die zentrale Verwaltung von Richtlinien für eine Gruppe von Konten. SCPs sind ideal, um die Bereitstellung von Ressourcen in bestimmten Regionen zu verhindern, indem sie Aktionen in unerwünschten Regionen explizit verweigern. Tag-Richtlinien erzwingen die Einhaltung von Tagging-Standards. Das Erstellen einer AWS Config-Regel in jedem Konto ist ineffizient und nicht zentral verwaltbar. Das Deaktivieren von Regionen über die Billing and Cost Management-Konsole ist nicht granulär genug für spezifische Mitgliedskonten und bietet keine Tagging-Durchsetzung. Das Verknüpfen der Konten direkt mit dem Root ist möglich, aber eine OU bietet eine bessere Struktur und Granularität für die Anwendung von Richtlinien auf eine Untergruppe von Konten.