Un'organizzazione gestisce 500 account AWS sotto AWS Organizations e trova molti volumi EBS non collegati. Vogliono una funzione Lambda distribuita su ogni account che venga eseguita ogni 30 minuti e che tagghi i volumi EBS che sono rimasti non collegati per 7 giorni o più. Qual è l'approccio più efficiente dal punto di vista operativo?

L'opzione corretta sfrutta AWS CloudFormation StackSets da un account amministratore delegato, che è il metodo più efficiente per distribuire risorse coerenti su più account AWS all'interno di AWS Organizations. Includere sia la funzione Lambda che la regola EventBridge nello stesso template CloudFormation garantisce una distribuzione atomica e una gestione semplificata. L'account amministratore delegato centralizza l'operazione, riducendo il sovraccarico gestionale. Le opzioni errate presentano inefficienze o complessità inutili: La prima opzione suggerisce un bus di eventi EventBridge nell'account amministratore delegato per invocare Lambda in ogni account membro, il che aggiunge complessità e latenza rispetto all'esecuzione diretta di EventBridge in ogni account. La seconda opzione propone uno script personalizzato e ruoli cross-account, che è meno scalabile e più incline agli errori rispetto a StackSets. La quarta opzione introduce CodeDeploy e ruoli IAM eccessivamente permissivi (AmazonS3FullAccess, AWSCodeDeployDeployerAccess), che non sono necessari per la distribuzione di una Lambda e una regola EventBridge, aumentando la superficie di attacco e la complessità.