L'entreprise souhaite exiger le chiffrement Amazon EBS au repos pour les comptes de production existants et pour tous les comptes de production créés à l'avenir. Elle souhaite une solution qui inclut des modèles et des garde-fous intégrés. Quelle combinaison d'étapes permettra d'y parvenir ? (Choisissez-en trois.)

La création d'une landing zone AWS Control Tower dans le compte de gestion de l'organisation est la bonne approche pour gérer de nouveaux comptes et des comptes existants avec des garde-fous intégrés. Les unités d'organisation (OU) distinctes pour la production et le développement permettent une gestion granulaire. Inviter les comptes existants dans AWS Organizations est nécessaire pour les intégrer dans la structure de Control Tower et appliquer des politiques. Les politiques de contrôle de service (SCP) sont utilisées pour appliquer des exigences à l'échelle de l'organisation, mais elles ne sont pas suffisantes pour détecter la conformité. Créer un garde-fou ciblé sur l'OU de production est essentiel pour détecter spécifiquement le chiffrement EBS, car Control Tower fournit des garde-fous proactifs et détectifs. Utiliser AWS CloudFormation StackSets pour déployer des règles AWS Config est une méthode valide mais n'est pas la solution la plus intégrée et complète pour les garde-fous dans ce scénario. Créer une nouvelle landing zone dans un compte de développeur n'est pas la bonne pratique, car la landing zone doit être gérée depuis le compte de gestion. Créer un garde-fou depuis le compte de gestion pour détecter le chiffrement EBS est trop générique ; il doit être ciblé sur l'OU de production.