Het bedrijf wil voorkomen dat ontwikkelaars een specifieke EC2 instance family starten in meerdere AWS-accounts die worden beheerd met AWS Organizations. Wat is de meest operationeel efficiënte manier om de service control policy-beperking op al die accounts toe te passen?

De meest efficiënte methode is het toevoegen van de accounts aan een Organizational Unit (OU) en vervolgens de Service Control Policies (SCP's) toe te passen op die OU. SCP's worden overgenomen door alle accounts binnen de OU, wat zorgt voor een consistente toepassing van beleid en minimale administratieve overhead. Het handmatig toepassen van SCP's op elk afzonderlijk ontwikkelaarsaccount is inefficiënt en foutgevoelig, vooral bij een groot aantal accounts. Resource Groups zijn bedoeld voor het organiseren van resources binnen een account of over accounts heen voor beheerdoeleinden, maar SCP's kunnen er niet direct op worden toegepast. AWS Control Tower helpt bij het opzetten van een multi-account omgeving, maar SCP's worden nog steeds beheerd via AWS Organizations en toegepast op OU's, niet op het Control Tower-beheeraccount zelf om beleid af te dwingen op de onderliggende accounts.