Firma chce zablokować deweloperom możliwość uruchamiania określonej rodziny instancji EC2 na wielu kontach AWS zarządzanych za pomocą AWS Organizations. Jaki jest najbardziej efektywny operacyjnie sposób zastosowania ograniczenia service control policy do wszystkich tych kont?

Prawidłowa odpowiedź to dodanie kont do jednostki organizacyjnej (OU) i zastosowanie polityki kontroli usług (SCP) do tej OU. SCP są efektywnym sposobem na centralne zarządzanie uprawnieniami w AWS Organizations. Stosując SCP do OU, polityka automatycznie dziedziczy się przez wszystkie konta w tej OU i jej podrzędnych OU, co zapewnia skalowalność i łatwość zarządzania. Pozostałe opcje są mniej efektywne: AWS Resource Groups nie obsługują SCP; służą do organizowania zasobów w ramach konta lub między kontami, ale nie do zarządzania uprawnieniami na poziomie konta za pomocą SCP. Stosowanie SCP do każdego konta dewelopera byłoby czasochłonne i podatne na błędy, zwłaszcza w przypadku dużej liczby kont. AWS Control Tower to usługa do zarządzania środowiskami wielokontowymi, ale SCP są stosowane do OU, a nie do konta zarządzającego Control Tower. Control Tower wykorzystuje OU do organizacji kont i stosowania SCP.