AWS Control Tower를 사용하는 회사에 여러 AWS 계정을 포함하는 OU가 있습니다. 이 회사는 해당 계정의 신규 또는 기존 Amazon EC2 인스턴스가 퍼블릭 IP 주소를 얻지 못하도록 해야 합니다. 이 요구 사항을 적용하는 솔루션은 무엇입니까?

정답은 SCP를 생성하여 OU에 연결하는 것입니다. 서비스 제어 정책(SCP)은 AWS Organizations 내에서 계정의 최대 권한을 관리하는 데 사용됩니다. SCP를 OU에 연결하면 해당 OU 내의 모든 계정에 정책이 적용됩니다. 이 경우, 퍼블릭 IP 주소를 사용하여 EC2 인스턴스를 시작하거나 기존 인스턴스에 퍼블릭 IP 주소를 연결하는 작업을 명시적으로 거부하는 SCP를 생성하여 이 요구 사항을 효과적으로 적용할 수 있습니다. 오답 설명: AWS Systems Manager는 인스턴스 생성 시 퍼블릭 IP 할당을 방지하는 데 적합하지 않습니다. 이미 생성된 인스턴스에 대한 사후 조치입니다. AWS Control Tower의 사전 예방적 컨트롤은 리소스 프로비저닝 전에 정책 위반을 감지하고 방지하지만, 'AssociatePublicIpAddress 속성을 False로 설정'하는 직접적인 컨트롤은 기본적으로 제공되지 않으며, SCP가 더 광범위하고 직접적인 제어를 제공합니다. AWS Config 사용자 지정 규칙은 규정 준수 위반을 감지하고 수정하는 데 사용되지만, 이는 리소스가 이미 생성된 후에 작동하는 반응형 제어입니다. 질문은 퍼블릭 IP 주소를 얻지 못하도록 '해야 한다'는 예방적 요구 사항을 다룹니다.