Een ontwikkelingsteam gebruikt afzonderlijke AWS-accounts voor ontwikkeling, staging en productie. Teamleden hebben grote Amazon EC2-instances gelanceerd die onderbenut zijn. Een solutions architect moet voorkomen dat grote instances worden gelanceerd in alle accounts met de MINSTE operationele overhead. Hoe kan de architect aan deze vereiste voldoen?

De juiste optie is het maken van een organisatie in AWS Organizations met een Service Control Policy (SCP). SCP's zijn een krachtige manier om permissies te beheren over meerdere AWS-accounts heen, wat resulteert in de minste operationele overhead. Een SCP kan expliciet het starten van grote EC2-instances weigeren voor alle accounts binnen de organisatie. Het bijwerken van IAM-policies in elk account is mogelijk, maar vereist handmatige configuratie en onderhoud in elk van de afzonderlijke accounts, wat leidt tot hogere operationele overhead. AWS Resource Access Manager (RAM) wordt gebruikt voor het delen van resources tussen accounts, niet voor het afdwingen van permissiebeperkingen. Het aanmaken van IAM-rollen in elk account is vergelijkbaar met het bijwerken van IAM-policies en vereist ook meer handmatig werk en beheer per account.