Une entreprise gère plusieurs comptes AWS avec AWS Organizations. Les règles réglementaires exigent que des comptes membres spécifiques soient restreints à un ensemble prédéfini de régions AWS où les ressources peuvent être déployées. Le balisage des ressources doit être appliqué conformément à une norme de groupe et géré de manière centralisée avec une configuration minimale. Quelle approche un architecte de solutions doit-il utiliser pour implémenter ces exigences ?

La bonne approche consiste à regrouper les comptes membres spécifiques dans une nouvelle unité d'organisation (OU) au sein d'AWS Organizations. Cela permet d'appliquer des politiques de manière centralisée à un ensemble de comptes. Une politique de balisage peut être attachée à cette OU pour garantir l'application des balises standardisées. Pour restreindre les régions, une politique de contrôle de service (SCP) doit être attachée à cette OU. Les SCPs sont idéales pour définir des permissions maximales et peuvent utiliser des conditions pour limiter les actions à des régions spécifiques, répondant ainsi aux exigences réglementaires. Les autres options sont moins efficaces ou incorrectes : Créer une règle AWS Config dans chaque compte membre est une approche décentralisée et fastidieuse à gérer à grande échelle. La console AWS Billing and Cost Management ne permet pas de désactiver des régions pour des comptes membres spécifiques, ni d'appliquer des politiques de balisage de cette manière. Associer les comptes membres directement à la racine appliquerait les restrictions à tous les comptes, ce qui n'est pas l'intention si seuls des comptes spécifiques doivent être restreints.