Un ingénieur DevOps a configuré AWS Organizations et AWS Control Tower avec des unités d'organisation (OU) et une zone d'atterrissage (landing zone). L'organisation a besoin d'une solution qui déploie automatiquement des modèles CloudFormation et des politiques de contrôle de service (SCP) personnalisées par OU ou par compte chaque fois qu'un utilisateur crée un nouveau compte via Control Tower Account Factory. Quelle approche offre le déploiement le plus automatisé des ressources requises vers les nouveaux comptes ?

La solution Customizations for AWS Control Tower (CfCT) est conçue pour automatiser le déploiement de ressources et de politiques dans les comptes gérés par Control Tower, y compris les nouveaux comptes créés via Account Factory. Elle utilise un référentiel CodeCommit pour stocker les modèles CloudFormation et les SCP, puis les déploie automatiquement en fonction des événements de Control Tower. Les autres options sont moins automatisées ou ne couvrent pas l'ensemble des exigences : AWS Service Catalog peut déployer des ressources, mais ne gère pas nativement le déploiement automatique des SCP ni l'intégration directe avec la création de comptes Control Tower pour un déploiement initial. Les ensembles de piles CloudFormation (Stack Sets) peuvent déployer des ressources dans plusieurs comptes, mais leur déclenchement automatique lors de la création d'un nouveau compte nécessite une logique supplémentaire (par exemple, EventBridge), et la gestion des SCP via Stack Sets est moins directe que CfCT. L'utilisation d'EventBridge avec Service Catalog nécessiterait une configuration complexe pour déclencher le provisionnement de produits spécifiques et ne gère pas les SCP de manière intégrée.