Een bedrijf dat AWS Organizations gebruikt, migreert workloads naar AWS. Het applicatieteam zal Amazon EC2-instances, Amazon S3-buckets, Amazon DynamoDB-tabellen en Application Load Balancers implementeren. Het bedrijf vereist dat: • Alle EC2-instances alleen worden gestart vanuit goedgekeurde AWS-accounts. • Alle DynamoDB-tabellen een gestandaardiseerde naamgevingsconventie volgen. • Alle infrastructuur in elk account in de organisatie moet worden geïmplementeerd via AWS CloudFormation-templates. Welke combinatie van acties moet het applicatieteam ondernemen? (Kies twee.)

CloudFormation StackSets maken het mogelijk om CloudFormation-templates vanuit een centraal beheerdersaccount te implementeren in meerdere doelaccounts binnen een AWS Organization, wat zorgt voor gestandaardiseerde implementaties en naleving van de vereiste dat alle infrastructuur via CloudFormation wordt geïmplementeerd. Service Control Policies (SCPs) zijn essentieel voor het afdwingen van de vereiste dat EC2-instances alleen vanuit goedgekeurde accounts worden gestart en dat DynamoDB-tabellen een gestandaardiseerde naamgevingsconventie volgen. SCPs kunnen op organisatieniveau worden toegepast om specifieke acties te verbieden die niet voldoen aan de compliancevoorwaarden, ongeacht de IAM-rechten binnen het account. De optie om CloudFormation-templates in het applicatieaccount te maken, voldoet niet aan de eis van centrale controle. Permissions boundaries zijn nuttig voor het beperken van de maximale permissies van een IAM-entiteit, maar zijn minder geschikt voor het afdwingen van organisatiebrede beleidsregels zoals het verbieden van specifieke resourceprovisioning. AWS Config managed rules zijn voor het monitoren van compliance na implementatie, niet voor het proactief voorkomen van niet-compliante implementaties.