Een projectaccount (dat geen deel mag uitmaken van de AWS Organization van het bedrijf) lanceert EC2-instances die groter zijn dan nodig. Het bedrijf wil dat account beperken, zodat ontwikkelaars alleen t3.small-instances kunnen lanceren en alleen in us-east-2. Wat moet een solutions architect doen om deze vereisten af te dwingen binnen het projectaccount?

De correcte aanpak is het maken van een IAM-beleid (Identity and Access Management) dat specifiek toestaat dat alleen t3.small EC2-instances in de regio us-east-2 worden gelanceerd. Dit beleid moet vervolgens worden gekoppeld aan de IAM-rollen of -groepen die de ontwikkelaars in het projectaccount gebruiken. Dit dwingt de vereisten direct af op het niveau van de gebruikerstoegang binnen het account, zonder het account te verplaatsen of aan een organisatie toe te voegen. Een Service Control Policy (SCP) is niet geschikt omdat het projectaccount geen deel uitmaakt van de AWS Organization. Het verplaatsen van instances en gebruikers naar een nieuw account is te ingrijpend en onnodig. Het kopen van Reserved Instances dwingt de beperking niet af; het is een kostenbesparende maatregel.