Un'azienda deve distribuire in modo sicuro risorse e carichi di lavoro su più account AWS all'interno di un'organizzazione AWS Organizations. L'azienda gestirà l'infrastruttura come codice (IaC) con AWS CloudFormation utilizzando solo modelli architetturali approvati. L'azienda deve anche imporre il tagging obbligatorio e specifici standard di configurazione per la creazione delle risorse. Quale soluzione soddisfa questi requisiti?

La soluzione corretta sfrutta AWS Service Catalog per gestire e distribuire modelli CloudFormation pre-approvati, garantendo che solo architetture conformi vengano utilizzate. La condivisione dei portfolio di Service Catalog tra gli account AWS Organizations facilita la standardizzazione. AWS Config viene poi utilizzato per imporre il tagging obbligatorio e altri standard di configurazione delle risorse, monitorando e segnalando le non conformità. Le altre opzioni sono meno complete: Le policy dello stack di CloudFormation non possono impedire la creazione di risorse al di fuori di CloudFormation, e le regole di EventBridge per le chiamate API non sono un meccanismo di prevenzione robusto per la conformità. AWS CodePipeline è utile per la distribuzione, ma le regole di AWS Config da sole non impediscono la creazione di risorse mal configurate; le SCP sono efficaci, ma la combinazione proposta non copre completamente la gestione dei modelli approvati. I boundary di autorizzazioni IAM limitano le azioni, ma non gestiscono direttamente la distribuzione di modelli approvati o l'applicazione di tagging e configurazioni su larga scala come Service Catalog e Config.