Una empresa utiliza AWS Control Tower con AWS Organizations y quiere restringir las cuentas de desarrollo (organizadas en una OU específica) para que solo puedan lanzar tipos de instancias EC2 y RDS con capacidad de ráfaga y no puedan usar servicios no relacionados. Los desarrolladores tienen muchas cuentas de desarrollo individuales. ¿Qué enfoque debería recomendar un arquitecto de soluciones para aplicar estas restricciones?

La opción correcta es crear un control preventivo (guardrail) personalizado en AWS Control Tower y aplicarlo a la OU de desarrollo. Los controles preventivos de Control Tower son implementados como Service Control Policies (SCPs) de AWS Organizations. Las SCPs son ideales para establecer límites de permisos a nivel de OU o cuenta, asegurando que las acciones prohibidas no puedan realizarse, incluso por usuarios con permisos administrativos. Esto cumple con el requisito de restringir el lanzamiento de instancias EC2/RDS a tipos de ráfaga y denegar servicios no relacionados de manera efectiva en todas las cuentas de desarrollo. Las SCPs personalizadas directamente en Organizations son la base de los controles preventivos de Control Tower, pero Control Tower proporciona una gestión centralizada y un marco para aplicarlos. Un control de detección (guardrail) solo notificaría sobre el incumplimiento, no lo evitaría. Una regla de AWS Config es un control de detección que evalúa la conformidad de los recursos existentes, no previene la creación de recursos no conformes.