Un'azienda utilizza AWS Organizations per gestire più account AWS per le risorse umane, la finanza, lo sviluppo software e la produzione. Tutti gli sviluppatori si trovano nell'account di sviluppo software. Alcuni sviluppatori hanno avviato istanze Amazon EC2 con software non approvato. L'azienda deve garantire che gli sviluppatori possano avviare istanze EC2 solo con applicazioni approvate e solo nell'account di sviluppo software. Quale soluzione soddisfa questi requisiti?

Questa soluzione è corretta perché AWS Service Catalog consente di creare un catalogo centralizzato di prodotti IT approvati, inclusi le istanze EC2 basate su AMI pre-configurate con software approvato. Concedendo agli sviluppatori l'accesso solo a questo portfolio, si garantisce che possano avviare solo le risorse conformi. Le altre opzioni sono meno efficaci: creare AMI e fornire template CloudFormation non impedisce agli sviluppatori di avviare istanze con AMI non approvate se hanno i permessi EC2 RunInstances diretti. Una regola EventBridge con Systems Manager Run Command agisce dopo l'avvio dell'istanza, non prevenendolo. L'uso di CloudFormation StackSets dall'account di gestione per la distribuzione di AMI non è il meccanismo primario per limitare l'avvio di istanze agli sviluppatori.