Un compte de projet (non autorisé à rejoindre l'AWS Organization de l'entreprise) lance des instances EC2 plus grandes que nécessaire. L'entreprise souhaite restreindre ce compte afin que les développeurs ne puissent lancer que des instances t3.small et uniquement dans la région us-east-2. Que doit faire un architecte de solutions pour appliquer ces exigences au sein du compte du projet ?

La création d'une politique IAM est la solution la plus directe et granulaire pour restreindre les actions des développeurs au sein d'un compte spécifique. Cette politique peut explicitement autoriser le lancement d'instances t3.small et définir us-east-2 comme seule région autorisée, puis être attachée aux rôles ou groupes IAM des développeurs. Les autres options sont incorrectes car : Déplacer des ressources vers un nouveau compte et rejoindre l'organisation est une action lourde et ne résout pas directement le problème de restriction des types d'instances ou des régions. Une SCP ne peut pas être appliquée à un compte qui n'est pas membre de l'AWS Organization. L'achat d'instances réservées n'empêche pas les développeurs de lancer d'autres types d'instances ou dans d'autres régions ; c'est un mécanisme de facturation, pas de contrôle d'accès.