Een bedrijf moet resources en workloads veilig implementeren in meerdere AWS-accounts binnen een AWS Organizations-organisatie. Het bedrijf beheert infrastructure as code (IaC) met AWS CloudFormation en gebruikt alleen goedgekeurde architectuurpatronen. Het bedrijf moet ook verplichte tagging en specifieke configuratiestandaarden afdwingen voor het aanmaken van resources. Welke oplossing voldoet aan deze vereisten?

De juiste oplossing is het gebruik van AWS Service Catalog met CloudFormation om de toegang tot goedgekeurde architectuurconfiguraties te beheren. Service Catalog maakt het mogelijk om goedgekeurde CloudFormation-sjablonen (producten) te delen via portfolio's binnen een AWS Organizations-organisatie, wat zorgt voor consistentie en naleving van architectuurpatronen. AWS Config-regels kunnen vervolgens worden gebruikt om verplichte tagging en specifieke configuratiestandaarden af te dwingen voor resources die via Service Catalog of op andere manieren zijn gemaakt. Optie 1 is onjuist omdat CloudFormation stack policies geen tagging- of configuratievereisten afdwingen; ze beheren alleen updates aan stacks. EventBridge detecteert API-aanroepen, maar voorkomt geen aanmaak. Optie 2 is onjuist omdat een SCP het aanmaken van alle resources kan blokkeren, niet alleen verkeerd geconfigureerde, en het afdwingen van tagging via SCP's is complex en beperkt. Optie 3 is onjuist omdat IAM permissions boundaries de maximale permissies voor een identiteit definiëren, maar niet direct de configuratie of tagging van resources afdwingen bij aanmaak via CloudFormation.