Una empresa con cientos de cuentas de AWS ha centralizado la adquisición de Reserved Instances (RIs). Las unidades de negocio deben enviar solicitudes de compra o modificación de RI a un equipo de adquisiciones central; anteriormente, las unidades de negocio realizaban las compras/cambios de RI directamente en sus cuentas. Un arquitecto de soluciones debe aplicar este nuevo proceso de forma segura. ¿Qué combinación de pasos se debe seguir? (Elija dos.)

Para centralizar la adquisición de RIs y aplicar el nuevo proceso de forma segura, es fundamental que todas las cuentas de AWS estén consolidadas bajo AWS Organizations con todas las características habilitadas. Esto permite la gestión centralizada de políticas y la aplicación de controles de forma jerárquica. Una vez que AWS Organizations está configurado, la forma más efectiva de denegar las acciones de compra y modificación de RIs a nivel de cuenta es mediante una Service Control Policy (SCP). Al crear una SCP que deniegue ec2:PurchaseReservedInstancesOffering y ec2:ModifyReservedInstances y adjuntarla a las Unidades Organizativas (OUs) relevantes, se asegura que ninguna cuenta dentro de esas OUs pueda realizar estas acciones, independientemente de las políticas de IAM internas. Las otras opciones son menos efectivas o incorrectas: Utilizar AWS Config para detectar políticas de IAM es reactivo y no preventivo. Crear políticas de IAM en cada cuenta es ineficiente y propenso a errores en un entorno con cientos de cuentas. La facturación consolidada es una característica de AWS Organizations, pero no es suficiente por sí sola para aplicar el control de seguridad deseado.