Entwickler in mehreren AWS-Konten in Ihrer Organisation können VPCs erstellen und EC2-Instances in einer einzigen Region starten. Jede EC2-Instance lädt etwa 1 TB/Tag von S3 herunter, was zu hohen Kosten für die kontoübergreifende Datenübertragung und NAT Gateway sowie zu Compute-Kosten führt. Das Unternehmen möchte proaktiv genehmigte Architekturmuster (z. B. die Verwendung von Gateway-Endpunkten) in den Entwicklerkonten durchsetzen, ohne die Entwicklungsgeschwindigkeit zu verlangsamen, und dies kostengünstig tun. Welche Lösung erfüllt diese Anforderungen am besten?

Die Veröffentlichung eines AWS Service Catalog-Portfolios ist die beste Lösung. Es ermöglicht die Bereitstellung vorab genehmigter Architekturmuster (VPC mit S3-Gateway-Endpunkten) und genehmigter EC2-Instance-Typen. Durch das Teilen des Portfolios mit Entwicklerkonten und die Beschränkung der IAM-Berechtigungen auf den Service Catalog wird sichergestellt, dass Entwickler nur konforme Ressourcen bereitstellen können, ohne die Entwicklungsgeschwindigkeit zu verlangsamen. Die Startbeschränkung mit einer genehmigten IAM-Rolle erhöht die Kontrolle. Die anderen Optionen sind weniger geeignet: SCPs können die Erstellung von VPCs nicht erzwingen und die CloudFormation-Vorlage bietet keine umfassende Governance für alle Ressourcen. AWS Budgets reagiert nur auf Kosten und verhindert nicht proaktiv die Bereitstellung nicht konformer Architekturen. AWS Config erkennt Nicht-Konformität erst nach der Bereitstellung und das Beenden von Ressourcen kann die Entwicklung stören.