Une équipe de développement utilise des comptes AWS distincts pour le développement, la pré-production et la production. Les membres de l'équipe ont lancé de grandes instances Amazon EC2 qui sont sous-utilisées. Un architecte de solutions doit empêcher le lancement de grandes instances dans tous les comptes avec le MOINS de surcharge opérationnelle. Comment l'architecte peut-il répondre à cette exigence ?

L'option correcte est de créer une organisation AWS Organizations et d'utiliser une politique de contrôle de service (SCP). Les SCP permettent de définir des autorisations maximales pour tous les comptes membres d'une organisation, y compris la restriction du lancement de types d'instances EC2 spécifiques. C'est la solution la plus efficace pour gérer plusieurs comptes avec le moins de surcharge opérationnelle, car une seule SCP peut être appliquée à tous les comptes pertinents. Mettre à jour les politiques IAM pour refuser le lancement de grandes instances EC2 est une solution viable, mais elle nécessite de gérer les politiques dans chaque compte individuellement, ce qui augmente la surcharge opérationnelle. Définir une ressource dans AWS Resource Access Manager (RAM) est incorrect car RAM est utilisé pour partager des ressources entre comptes, pas pour appliquer des politiques de contrôle. Créer un rôle IAM dans chaque compte qui refuse le lancement de grandes instances EC2 est également moins efficace qu'une SCP, car cela implique une gestion par compte et nécessite que les utilisateurs assument ce rôle, ce qui peut ne pas être la solution la plus directe pour une restriction globale.