Een bedrijf gebruikt meerdere AWS-accounts voor productie- en niet-productieworkloads, verdeeld over DevOps-teams. Ze willen de toegang tot een kleine set AWS-services die DevOps-teams niet gebruiken centraal beperken, terwijl toegang tot services die momenteel in gebruik zijn wel is toegestaan. Ze hebben alle accounts al uitgenodigd voor AWS Organizations. Ze willen ook groepen accounts samen beheren. Welke combinatie van acties moet een solutions architect ondernemen? (Kies drie.)

Een deny-list strategie (expliciete deny) is essentieel om toegang tot specifieke services centraal te beperken, zelfs als andere beleidsregels toegang zouden toestaan. Dit is de meest effectieve manier om te garanderen dat bepaalde services niet gebruikt kunnen worden. IAM Access Advisor is cruciaal om te bepalen welke services daadwerkelijk in gebruik zijn. Dit voorkomt dat je per ongeluk toegang tot benodigde services blokkeert. Het creëren van Organizational Units (OUs) en het organiseren van accounts daarin is noodzakelijk voor het groeperen en centraal beheren van beleidsregels, zoals Service Control Policies (SCPs), voor verschillende teams of omgevingen. AWS Trusted Advisor richt zich op optimalisatie en beveiliging, niet op het bijhouden van recent servicegebruik. Het verwijderen van de standaard FullAWSAccess SCP is niet nodig; een deny-list SCP overschrijft dit al. De DenyAWSAccess SCP is geen standaard SCP.