한 회사에서 AWS Organizations와 함께 AWS Control Tower를 사용하고 있으며, 개발 계정(특정 OU로 구성됨)이 버스터블 EC2 및 RDS 인스턴스 유형만 시작할 수 있고 관련 없는 서비스를 사용할 수 없도록 제한하려고 합니다. 개발자들은 여러 개의 개별 개발 계정을 가지고 있습니다. 솔루션스 아키텍트는 이러한 제한을 적용하기 위해 어떤 접근 방식을 권장해야 할까요?

정답은 AWS Control Tower의 사용자 지정 사전 예방 제어(가드레일)를 개발 OU에 적용하는 것입니다. 사전 예방 제어는 리소스가 프로비저닝되기 전에 정책을 적용하여 규정 준수 위반을 방지합니다. 이 경우, 개발 계정에서 버스터블 EC2 및 RDS 인스턴스 유형만 시작하고 관련 없는 서비스 사용을 제한하는 요구 사항을 충족하는 데 가장 적합합니다. 사용자 지정 SCP는 AWS Control Tower의 사전 예방 제어의 기반이 되지만, Control Tower를 사용하는 환경에서는 Control Tower의 제어 기능을 통해 관리하는 것이 더 효율적입니다. 탐지 제어는 위반이 발생한 후 이를 식별하므로, 애초에 허용되지 않는 리소스 생성을 방지하는 데는 적합하지 않습니다. AWS Config 규칙은 리소스가 이미 배포된 후 규정 준수를 평가하므로, 사전 예방적인 제어 요구 사항을 충족하지 못합니다.