Un account di progetto (non autorizzato a unirsi all'AWS Organization dell'azienda) sta lanciando istanze EC2 più grandi del necessario. L'azienda vuole limitare tale account in modo che gli sviluppatori possano lanciare solo istanze t3.small e solo in us-east-2. Cosa dovrebbe fare un architetto di soluzioni per imporre questi requisiti all'interno dell'account del progetto?

La risposta corretta è creare una policy IAM che consenta il lancio solo di istanze EC2 t3.small nella regione us-east-2 e allegarla ai ruoli e ai gruppi utilizzati dagli sviluppatori. Le policy IAM sono il metodo granulare per controllare le autorizzazioni all'interno di un singolo account AWS, permettendo di specificare azioni, risorse e condizioni. In questo caso, la policy può limitare il tipo di istanza (t3.small) e la regione (us-east-2) per l'azione ec2:RunInstances. Le altre opzioni sono meno appropriate: Spostare l'account e applicare una policy di tagging non risolve il problema del controllo dei tipi di istanza e della regione. Una Service Control Policy (SCP) è efficace per gli account all'interno di un'AWS Organization, ma l'account del progetto non ne fa parte. L'acquisto di istanze riservate non impedisce agli sviluppatori di lanciare altri tipi di istanze o in altre regioni.