L'azienda desidera impedire agli sviluppatori di avviare una specifica famiglia di istanze EC2 su più account AWS gestiti con AWS Organizations. Qual è il modo più efficiente dal punto di vista operativo per applicare la restrizione della service control policy a tutti questi account?

L'opzione corretta è aggiungere gli account a un'unità organizzativa (OU) e applicare le SCP all'OU. Questo è il metodo più efficiente dal punto di vista operativo perché le Service Control Policy (SCP) vengono ereditate da tutti gli account all'interno di un'OU e delle sue sotto-OU, garantendo un'applicazione coerente delle restrizioni su più account con un'unica configurazione. Le SCP non possono essere applicate direttamente ai gruppi di risorse di AWS Resource Groups (opzione B), in quanto questi sono usati per organizzare le risorse, non per applicare policy a livello di account. Applicare le SCP a ogni singolo account sviluppatore (opzione C) sarebbe inefficiente e soggetto a errori, specialmente con un numero elevato di account. Registrare gli account con AWS Control Tower (opzione D) è una soluzione più ampia per la governance, ma l'applicazione delle SCP avviene comunque tramite le OU che Control Tower crea e gestisce, rendendo l'applicazione diretta alle OU il punto chiave per le SCP.