Un'azienda ha implementato più account AWS con AWS Control Tower. Il team di sicurezza deve automatizzare i guardrail di Control Tower per tutti gli account in una specifica OU, mantenere la configurazione dei guardrail sotto controllo di versione con la possibilità di rivedere e annullare le modifiche, fare in modo che il team di sicurezza gestisca la soluzione nella propria OU e limitare i tipi di guardrail in modo che siano consentiti solo i nuovi guardrail approvati. Quale soluzione offre la massima efficienza operativa?

La soluzione corretta sfrutta AWS CodeCommit per il controllo di versione dei template CloudFormation, che contengono la risorsa AWS::ControlTower::EnableControl per abilitare i guardrail su specifiche OU. L'uso di AWS CodePipeline, attivata da modifiche in CodeCommit tramite EventBridge, automatizza il processo di distribuzione e garantisce che solo i guardrail approvati vengano applicati. Questo approccio offre efficienza operativa, tracciabilità e la possibilità di revisionare e annullare le modifiche. Le opzioni errate presentano inefficienze o non soddisfano tutti i requisiti: L'opzione che usa CodeBuild non fornisce una pipeline completa per la gestione del ciclo di vita dei guardrail come CodePipeline. L'opzione che abilita i guardrail per ogni account invece che per ogni OU è meno efficiente e scalabile. L'opzione che si basa su eventi S3 PutObject per l'attivazione della pipeline non fornisce il controllo di versione e la tracciabilità offerti da CodeCommit.