Una empresa utiliza AWS Organizations para administrar varias cuentas de AWS para recursos humanos, finanzas, desarrollo de software y producción. Todos los desarrolladores están en la cuenta de desarrollo de software. Algunos desarrolladores han lanzado instancias de Amazon EC2 con software no aprobado. La empresa debe asegurarse de que los desarrolladores puedan lanzar instancias EC2 solo con aplicaciones aprobadas y solo en la cuenta de desarrollo de software. ¿Qué solución cumple estos requisitos?

La opción correcta es utilizar AWS Service Catalog. Service Catalog permite a las empresas crear y administrar catálogos de productos de TI aprobados para su uso en AWS. Al crear un portfolio de Service Catalog con productos EC2 que utilizan AMIs con software aprobado, y luego otorgar a los desarrolladores acceso solo a este portfolio, se garantiza que solo puedan lanzar instancias con las configuraciones permitidas y solo en la cuenta de desarrollo de software. Las opciones incorrectas son: Crear AMIs y referenciarlas en plantillas de CloudFormation no restringe el lanzamiento de instancias con AMIs no aprobadas si los desarrolladores tienen permisos para lanzar EC2 directamente. Una regla de EventBridge y Systems Manager Run Command para instalar software después del lanzamiento no evita que se lancen instancias con software no aprobado inicialmente. Crear AMIs en la cuenta de administración y usar CloudFormation StackSets para implementar en todas las cuentas no restringe a los desarrolladores a lanzar solo AMIs aprobadas en la cuenta de desarrollo, ni impide que lancen instancias no aprobadas si tienen permisos directos de EC2.