AWS Organizations를 사용하는 회사가 워크로드를 AWS로 마이그레이션하고 있습니다. 애플리케이션 팀은 Amazon EC2 인스턴스, Amazon S3 버킷, Amazon DynamoDB 테이블 및 Application Load Balancer를 배포할 예정입니다. 이 회사는 다음을 요구합니다. • 모든 EC2 인스턴스는 승인된 AWS 계정에서만 시작되어야 합니다. • 모든 DynamoDB 테이블은 표준화된 명명 규칙을 따라야 합니다. • 조직 내 모든 계정의 모든 인프라는 AWS CloudFormation 템플릿을 통해 배포되어야 합니다. 애플리케이션 팀은 어떤 조치 조합을 취해야 할까요? (두 가지 선택)

첫 번째 정답은 AWS CloudFormation StackSets을 사용하여 조직 전체에 표준화된 인프라 배포를 강제하는 방법을 설명합니다. 중앙 관리자 계정에서 템플릿을 생성하고 StackSets을 통해 배포하면 모든 계정에서 일관된 리소스 프로비저닝을 보장하고, 특정 계정에 대한 템플릿 사용을 제한하여 통제를 유지할 수 있습니다. 이는 모든 인프라가 CloudFormation 템플릿을 통해 배포되어야 한다는 요구 사항을 충족합니다. 두 번째 정답은 서비스 제어 정책(SCPs)을 사용하여 조직 내 계정의 권한을 제한하는 방법을 설명합니다. SCP는 AWS Organizations의 기능으로, 조직 단위(OU) 또는 개별 계정에 적용되어 허용되거나 거부되는 최대 권한을 정의합니다. 이를 통해 승인된 계정에서만 EC2 인스턴스가 시작되도록 강제하고, DynamoDB 테이블 명명 규칙을 준수하지 않는 리소스 생성을 차단하는 등 내부 규정 준수 조건을 충족할 수 있습니다. 오답인 "애플리케이션 계정에 CloudFormation 템플릿을 생성합니다..."는 중앙 집중식 제어 및 표준화를 어렵게 만듭니다. "권한 경계(permissions boundaries)를 사용하여..."는 개별 IAM 엔터티에 적용되므로 조직 전체의 계정에 대한 광범위한 제어 요구 사항에는 적합하지 않습니다. "애플리케이션 계정의 각 서비스에 대해 AWS Config 관리형 규칙을 활성화합니다"는 규정 준수 여부를 감사하는 데 사용되지만, 리소스 생성을 방지하는 데는 직접적인 메커니즘이 아닙니다.