Firma chce wymagać szyfrowania Amazon EBS at rest dla istniejących kont produkcyjnych oraz dla wszystkich kont produkcyjnych tworzonych w przyszłości. Poszukują rozwiązania, które zawiera wbudowane szablony (blueprints) i zabezpieczenia (guardrails). Jaka kombinacja kroków to osiągnie? (Wybierz trzy.)

Rozwiązaniem jest utworzenie nowej strefy docelowej AWS Control Tower na koncie zarządzającym organizacji. Control Tower zapewnia wbudowane szablony i zabezpieczenia, co jest zgodne z wymaganiami. Oddzielne jednostki OU dla środowisk produkcyjnych i deweloperskich umożliwiają precyzyjne zarządzanie zasadami. Zaproszenie istniejących kont do AWS Organizations jest konieczne, aby mogły być zarządzane przez Control Tower i korzystać z SCPs. Utworzenie Service Control Policies (SCPs) w AWS Organizations pozwala wymusić szyfrowanie EBS na poziomie organizacji, zapewniając zgodność dla wszystkich kont. Utworzenie zabezpieczenia (guardrail) o zasięgu jednostki OU produkcyjnej, aby wykryć szyfrowanie EBS, jest kluczowe dla monitorowania i egzekwowania zgodności w środowiskach produkcyjnych. Opcja z tworzeniem Control Tower na koncie deweloperskim jest nieprawidłowa, ponieważ Control Tower zawsze musi być wdrażany na koncie zarządzającym organizacji. Użycie CloudFormation StackSets do wdrażania reguł AWS Config jest możliwe, ale Control Tower oferuje bardziej kompleksowe rozwiązanie z wbudowanymi zabezpieczeniami. Tworzenie zabezpieczenia z konta zarządzającego, aby wykryć szyfrowanie EBS, jest zbyt ogólne; zabezpieczenia powinny być przypisane do konkretnych jednostek OU, aby odzwierciedlać strukturę środowiska.