L'entreprise souhaite empêcher les développeurs de lancer une famille d'instances EC2 spécifique sur plusieurs comptes AWS gérés avec AWS Organizations. Quelle est la méthode la plus efficace sur le plan opérationnel pour appliquer la restriction de politique de contrôle de service (SCP) à tous ces comptes ?

La bonne réponse est d'ajouter les comptes à une unité d'organisation (OU) et d'appliquer les SCP à cette OU. Les SCP sont des politiques de contrôle de service qui permettent de gérer les autorisations maximales disponibles pour tous les comptes d'une OU ou d'une organisation. En appliquant le SCP à l'OU, la restriction est automatiquement héritée par tous les comptes membres de cette OU, ce qui est la méthode la plus efficace pour gérer les politiques à grande échelle. Les autres options sont moins efficaces : L'ajout de comptes à des groupes de ressources dans AWS Resource Groups ne permet pas d'appliquer des SCP, car les SCP sont gérés au niveau d'AWS Organizations. L'application des SCP à chaque compte individuellement serait fastidieuse et sujette aux erreurs pour un grand nombre de comptes. L'inscription des comptes auprès d'AWS Control Tower est une solution plus large pour la gouvernance, mais l'application des SCP au compte de gestion Control Tower n'est pas la méthode directe pour restreindre les comptes membres ; les SCP sont appliqués aux OUs créées par Control Tower ou manuellement.