Une organisation utilise AWS Organizations et doit restreindre la création d'instances EC2 à un ensemble de régions AWS approuvées uniquement. L'administrateur doit empêcher quiconque dans l'entreprise de lancer des instances EC2 dans des régions non autorisées. Quelle est la méthode la plus efficace sur le plan opérationnel pour appliquer cette politique à tous les comptes membres ?

La création d'une politique de contrôle de service (SCP) à la racine de l'organisation et son attachement est la méthode la plus efficace sur le plan opérationnel. Les SCPs sont appliquées de manière centralisée à tous les comptes membres sous la racine, garantissant que la restriction est appliquée uniformément sans configuration manuelle dans chaque compte. Les autres options sont moins efficaces : activer CloudTrail et EventBridge pour terminer les instances est une solution réactive plutôt que proactive ; attacher des politiques IAM gérées à tous les groupes IAM ou définir des limites d'autorisations IAM dans chaque compte nécessite une configuration manuelle et répétée, ce qui est lourd et sujet aux erreurs dans une organisation multi-comptes.