Een bedrijf gebruikt AWS Control Tower met AWS Organizations en wil ontwikkelaccounts (georganiseerd in een specifieke OU) beperken, zodat ze alleen burstable EC2- en RDS-instancetypen kunnen starten en geen ongerelateerde services kunnen gebruiken. Ontwikkelaars hebben veel individuele ontwikkelaccounts. Welke aanpak moet een solutions architect aanbevelen om deze beperkingen af te dwingen?

De juiste aanpak is het maken van een aangepaste preventieve controle (guardrail) in AWS Control Tower. Preventieve controles zijn SCP's (Service Control Policies) die worden beheerd via Control Tower en die proactief voorkomen dat acties worden uitgevoerd die in strijd zijn met het beleid. Door een dergelijke guardrail toe te passen op de ontwikkel-OU, wordt afgedwongen dat alleen burstable EC2- en RDS-instancetypen kunnen worden gestart en dat ongerelateerde services niet kunnen worden gebruikt, nog voordat de actie plaatsvindt. Een aangepaste SCP direct in AWS Organizations is functioneel vergelijkbaar, maar het gebruik van Control Tower's guardrails is de aanbevolen en geïntegreerde manier om beleid te beheren binnen een Control Tower-omgeving. Een detective control (guardrail) zou alleen waarschuwen na een overtreding, wat niet proactief genoeg is. Een AWS Config-regel detecteert ook na de feiten en kan geen acties voorkomen.