Un'azienda dividerà le risorse in centinaia di account AWS in più Regioni e necessita di una soluzione che neghi l'accesso a qualsiasi operazione al di fuori delle Regioni specificamente consentite. Quale approccio soddisfa questo requisito?

L'opzione corretta è distribuire una landing zone di AWS Control Tower, creare Organizational Units (OU) e allegare Service Control Policies (SCP) che neghino l'esecuzione di servizi al di fuori delle Regioni approvate. Le SCP sono policy a livello di organizzazione che possono essere applicate a OU o account specifici per imporre limiti massimi alle autorizzazioni. Utilizzando le SCP con condizioni basate sulla regione, è possibile negare in modo centralizzato le operazioni in tutte le regioni non approvate per centinaia di account, garantendo la conformità. Le altre opzioni sono meno efficaci: Creare ruoli IAM con policy per ogni account è laborioso e difficile da gestire su centinaia di account. Creare utenti IAM con policy di blocco in ogni account è ancora più oneroso e non scalabile. AWS Security Hub è uno strumento di sicurezza e conformità che monitora le configurazioni, ma non impone restrizioni operative a livello di regione.