Un'azienda gestisce più account AWS con AWS Organizations. Le normative richiedono che specifici account membro siano limitati a un set predefinito di Regioni AWS in cui le risorse possono essere distribuite. La taggatura delle risorse deve essere applicata secondo uno standard di gruppo e gestita centralmente con una configurazione minima. Quale approccio dovrebbe utilizzare un architetto di soluzioni per implementare questi requisiti?

L'associazione degli account membro a una nuova Organizational Unit (OU) consente di applicare politiche in modo granulare a un sottoinsieme di account, soddisfacendo il requisito di limitare specifici account. L'applicazione di una policy di tag a livello di OU garantisce una gestione centralizzata e l'applicazione dello standard di taggatura. L'utilizzo di una Service Control Policy (SCP) con condizioni è il metodo più efficace per limitare le Regioni AWS in cui le risorse possono essere distribuite, in quanto le SCP sono politiche di protezione che sovrascrivono i permessi degli utenti e dei ruoli all'interno degli account membri. Le altre opzioni sono meno efficaci: Creare regole AWS Config in ogni account membro è meno efficiente e non centralizzato. Disabilitare le Regioni dalla console Billing and Cost Management non offre la granularità necessaria per specifici account e non è il meccanismo corretto per applicare policy di tag. Associare gli account membro specifici al root non permette una gestione granulare, poiché le policy applicate al root influenzerebbero tutti gli account.