La empresa desea impedir que los desarrolladores lancen una familia de instancias EC2 específica en varias cuentas de AWS que se administran con AWS Organizations. ¿Cuál es la forma más eficiente operativamente de aplicar la restricción de la política de control de servicios a todas esas cuentas?

La opción correcta es agregar las cuentas a una unidad organizacional (OU) y aplicar las políticas de control de servicios (SCP) a esa OU. AWS Organizations permite la gestión centralizada de múltiples cuentas. Al agrupar las cuentas de desarrolladores en una OU, puede aplicar una SCP a la OU, que se hereda automáticamente por todas las cuentas dentro de ella. Esto garantiza una aplicación consistente y eficiente de la política en todas las cuentas relevantes. Las SCP no se pueden aplicar a grupos de recursos de AWS Resource Groups, ya que estos son para organizar recursos, no para aplicar políticas de gobernanza a nivel de cuenta. Aplicar SCP a cada cuenta individualmente sería ineficiente y propenso a errores, especialmente con un gran número de cuentas. AWS Control Tower es una herramienta para establecer y gobernar un entorno de múltiples cuentas, pero las SCP se aplican a las OUs dentro de Organizations, no directamente a la cuenta de administración de Control Tower para este propósito específico.