Een bedrijf heeft een multi-account AWS-omgeving nodig die een consistente basislijn afdwingt voor beheer en beveiliging, terwijl account-niveau flexibiliteit mogelijk is voor verschillende compliance-behoeften. De omgeving moet integreren met de bestaande on-premises AD FS voor federatie en de operationele overhead minimaliseren. Welke aanpak voldoet aan deze vereisten met de MINSTE operationele overhead?

De correcte optie voldoet het beste aan de vereisten met minimale operationele overhead. AWS Control Tower automatiseert de implementatie van een multi-account omgeving met best practices, inclusief guardrails (SCP's) en AWS Config, wat zorgt voor een consistente basislijn en compliance. Het stelt ook de gebruiker in staat om de ingebouwde controls aan te passen en OU's toe te voegen voor flexibiliteit per account. Integratie van AWS IAM Identity Center (voorheen AWS Single Sign-On) met on-premises AD FS is de aanbevolen en meest efficiënte methode voor federatie, wat de operationele overhead minimaliseert. De eerste optie is minder efficiënt omdat het handmatig maken van één SCP voor alle accounts en het handmatig configureren van logging en AWS Config meer operationele overhead met zich meebrengt dan Control Tower. De derde optie is ook minder efficiënt door het handmatig ontwerpen van SCP's en het configureren van logging en AWS Config, wat Control Tower automatiseert. De vierde optie is onvolledig omdat het niet specifiek AWS IAM Identity Center noemt voor federatie, en het handmatig configureren van een IAM identity provider is complexer dan de integratie via IAM Identity Center.