Een groot mobiel gamingbedrijf heeft alle on-premises infrastructuur gemigreerd naar AWS. Een solutions architect controleert de omgeving aan de hand van het Well-Architected Framework en bekijkt historische kosten in Cost Explorer. De architect merkt hoge kosten op door het aanmaken en beëindigen van grote EC2-instancetypen. Ontwikkelaars starten EC2-instances voor tests en kiezen ongeschikte instancetypen. U moet een controle implementeren zodat ontwikkelaars alleen goedgekeurde instancetypen kunnen starten. Welke oplossing voldoet aan deze vereiste?

De juiste oplossing is het maken van een nieuw IAM-beleid dat de toegestane instancetypen specificeert en dit beleid te koppelen aan een IAM-groep voor ontwikkelaars. Dit is de meest directe en effectieve manier om te controleren welke instancetypen ontwikkelaars kunnen starten, door gebruik te maken van het principe van least privilege. De andere opties zijn minder geschikt: AWS Config desired-instance-type is een controleregel die waarschuwt bij non-conformiteit, maar voorkomt het starten van ongewenste instancetypen niet. Een launch template in de EC2-console specificeert wel instancetypen, maar dwingt niet af dat ontwikkelaars alleen die templates gebruiken. Ze kunnen nog steeds handmatig andere instancetypen starten. EC2 Image Builder is bedoeld voor het automatiseren van het bouwen van AMI's en heeft geen directe functionaliteit om het starten van specifieke instancetypen te beperken.