Une entreprise utilise AWS Control Tower avec AWS Organizations et souhaite restreindre les comptes de développement (organisés dans une OU spécifique) afin qu'ils ne puissent lancer que des types d'instances EC2 et RDS "burstable" et ne puissent pas utiliser de services non liés. Les développeurs ont de nombreux comptes de développement individuels. Quelle approche un architecte de solutions devrait-il recommander pour appliquer ces restrictions ?

La bonne approche est de créer un contrôle préventif (garde-fou) personnalisé dans AWS Control Tower. Les contrôles préventifs sont des politiques de contrôle de service (SCP) d'AWS Organizations qui sont appliquées aux unités d'organisation (OU) pour empêcher les actions non conformes avant qu'elles ne se produisent. Cela garantit que les comptes de développement ne peuvent pas lancer d'instances EC2 ou RDS non "burstable" ni utiliser de services non liés, car ces actions seront explicitement refusées. Les autres options sont incorrectes car : Une SCP personnalisée est le mécanisme sous-jacent, mais AWS Control Tower fournit un cadre pour gérer ces SCP en tant que contrôles préventifs, ce qui est la terminologie et la méthode préférées dans un environnement Control Tower. Un contrôle détectif ne ferait que signaler les non-conformités après qu'elles se soient produites, ce qui ne correspond pas à l'exigence de "restreindre" ou d'empêcher les actions. Une règle AWS Config est un contrôle détectif et ne prévient pas les actions. De plus, la gestion via AWS Config dans le compte de gestion pour l'ensemble de l'OU est moins directe que l'utilisation des contrôles préventifs de Control Tower.