Una empresa está abriendo nuevas tiendas. El día del lanzamiento de cada tienda, la empresa quiere implementar una aplicación web personalizada para esa tienda. Cada tienda tendrá entornos separados de no producción y producción, cada uno en su propia cuenta de AWS. La empresa utiliza AWS Organizations y tiene una OU dedicada a estas cuentas. Equipos de desarrolladores externos realizarán la mayor parte del trabajo de desarrollo. Un ingeniero de seguridad debe asegurarse de que los equipos sigan el plan de implementación de recursos de AWS de la empresa y debe restringir el acceso al plan solo a los desarrolladores que lo necesiten. Ya existe una plantilla de CloudFormation que implementa el plan de implementación. ¿Qué debe hacer a continuación el ingeniero de seguridad para cumplir estos requisitos de la manera más segura?

La opción más segura y eficiente es usar AWS Service Catalog. Al crear un portfolio en la cuenta de administración y compartirlo con la OU, se centraliza la gestión de la plantilla de CloudFormation. Los desarrolladores externos solo podrán lanzar la aplicación web preaprobada como un producto, sin tener acceso directo a la plantilla ni a los permisos para modificarla. Esto asegura el cumplimiento del plan de implementación y restringe el acceso solo a quienes lo necesitan. Las otras opciones son menos seguras o más complejas: Usar la CLI de CloudFormation para módulos y SCPs es más complejo de gestionar y podría permitir más flexibilidad de la deseada, lo que aumenta el riesgo. Crear un portfolio y un rol de IAM separado para cada cuenta de la OU es menos escalable y añade complejidad de gestión de permisos. Publicar una extensión de CloudFormation y compartirla con la OU no restringe el acceso de la misma manera que Service Catalog, que permite controlar quién puede lanzar productos específicos.