Ein Unternehmen verwendet AWS Control Tower und verfügt über eine OU, die mehrere AWS-Konten enthält. Das Unternehmen muss sicherstellen, dass keine neuen oder bestehenden Amazon EC2-Instances in diesen Konten eine öffentliche IP-Adresse erhalten können. Welche Lösung erzwingt diese Anforderung?

Eine Service Control Policy (SCP) ist die effektivste Methode, um diese Anforderung zu erzwingen. SCPs sind Schutzmaßnahmen, die Berechtigungen in allen Konten einer Organisationseinheit (OU) oder der gesamten Organisation einschränken. Durch das Erstellen einer SCP, die die Aktionen ec2:RunInstances mit der Bedingung ec2:AssociatePublicIpAddress auf true und ec2:AssociateAddress blockiert, wird verhindert, dass neue oder bestehende EC2-Instances öffentliche IP-Adressen erhalten. Das Hinzufügen der SCP zur OU stellt sicher, dass diese Regel für alle Konten innerhalb dieser OU gilt. Die anderen Optionen sind weniger effektiv oder unzureichend: Das Konfigurieren von Systems Manager-Runbooks ist eine reaktive Lösung und erfordert die manuelle Konfiguration in jedem Konto. Proaktive AWS Control Tower-Kontrollen sind zwar nützlich, aber möglicherweise nicht so granular oder umfassend wie eine benutzerdefinierte SCP für dieses spezifische Szenario. Eine benutzerdefinierte AWS Config-Regel mit einer Lambda-Funktion ist eine reaktive Lösung, die öffentliche IPs erst nach der Zuweisung entfernt, anstatt die Zuweisung proaktiv zu verhindern.