Un team di sviluppo utilizza account AWS separati per lo sviluppo, lo staging e la produzione. I membri del team hanno lanciato istanze Amazon EC2 di grandi dimensioni che sono sottoutilizzate. Un architetto di soluzioni deve impedire il lancio di istanze di grandi dimensioni in tutti gli account con il MINOR overhead operativo. Come può l'architetto soddisfare questo requisito?

La creazione di un'organizzazione in AWS Organizations e l'applicazione di una Service Control Policy (SCP) che nega il lancio di istanze EC2 di grandi dimensioni è la soluzione con il minor overhead operativo. Le SCP vengono applicate a livello di account o di unità organizzativa, garantendo che tutti gli utenti e i ruoli all'interno degli account interessati siano soggetti alla restrizione, senza dover gestire policy individuali per ogni utente o ruolo. Aggiornare le policy IAM per negare il lancio di istanze EC2 di grandi dimensioni per tutti gli utenti richiederebbe la gestione di policy separate in ogni account e per ogni utente, aumentando l'overhead. Definire una risorsa in AWS Resource Access Manager non è il meccanismo corretto per imporre restrizioni di lancio; RAM serve per condividere risorse tra account. Creare un ruolo IAM in ogni account e concedere l'accesso al gruppo degli sviluppatori è meno efficiente di una SCP, poiché richiederebbe la gestione del ruolo in ogni account e non coprirebbe automaticamente nuovi utenti o ruoli.