Un'azienda utilizza AWS Control Tower con AWS Organizations e desidera limitare gli account di sviluppo (organizzati in una OU specifica) in modo che possano avviare solo tipi di istanze EC2 e RDS burstable e non possano utilizzare servizi non correlati. Gli sviluppatori hanno molti account di sviluppo individuali. Quale approccio dovrebbe raccomandare un architetto di soluzioni per imporre queste restrizioni?

La risposta corretta è creare un controllo preventivo (guardrail) personalizzato in AWS Control Tower. I guardrail preventivi, implementati come Service Control Policies (SCP) in AWS Organizations, impediscono la creazione di risorse non conformi. Questo approccio è ideale per imporre restrizioni a livello di organizzazione, garantendo che gli account di sviluppo possano avviare solo istanze EC2 e RDS burstable e non possano utilizzare servizi non correlati. Applicando il guardrail alla OU di sviluppo, le restrizioni si applicano automaticamente a tutti gli account al suo interno. Le SCP personalizzate (prima opzione) sono il meccanismo sottostante, ma AWS Control Tower fornisce un'interfaccia semplificata per la loro gestione come "guardrail preventivi". Un controllo investigativo (seconda opzione) rileva le non conformità dopo che si sono verificate, non le previene. Una regola AWS Config (quarta opzione) è un controllo investigativo e non impedisce l'azione, ma la segnala solo dopo che è avvenuta.