Ein Unternehmen verwendet AWS Control Tower mit AWS Organizations und möchte Entwicklungskonten (die in einer bestimmten OU organisiert sind) so einschränken, dass sie nur burstable EC2- und RDS-Instance-Typen starten können und keine nicht verwandten Dienste nutzen dürfen. Entwickler haben viele individuelle Entwicklungskonten. Welchen Ansatz sollte ein Solutions Architect empfehlen, um diese Einschränkungen durchzusetzen?

Die korrekte Antwort ist die Erstellung einer benutzerdefinierten präventiven Kontrolle (Guardrail) in AWS Control Tower. Präventive Kontrollen basieren auf Service Control Policies (SCPs) und werden auf Organisationseinheiten (OUs) angewendet, um Aktionen zu verhindern, bevor sie ausgeführt werden. Dies ist ideal, um die Nutzung bestimmter EC2- und RDS-Instanztypen zu erzwingen und die Nutzung nicht verwandter Dienste zu untersagen. Eine benutzerdefinierte SCP direkt in AWS Organizations wäre zwar technisch möglich, aber Control Tower bietet einen verwalteten Ansatz für Guardrails, der die Implementierung und Verwaltung vereinfacht und besser in die Control Tower-Umgebung integriert ist. Detektivkontrollen erkennen Verstöße erst nach deren Auftreten, was dem Ziel der Verhinderung widerspricht. Eine AWS Config-Regel ist ebenfalls detektiv und würde Aktionen nicht präventiv blockieren; zudem ist der Einsatz von CloudFormation StackSets für diese Art der präventiven Kontrolle überflüssig, da Control Tower dies nativ unterstützt.