Firma otwiera nowe sklepy. W dniu uruchomienia każdego sklepu firma chce wdrożyć dostosowaną aplikację internetową dla tego sklepu. Każdy sklep będzie miał oddzielne środowiska nieprodukcyjne i produkcyjne, każde na własnym koncie AWS. Firma korzysta z AWS Organizations i ma jednostkę organizacyjną (OU) przeznaczoną dla tych kont. Zespoły deweloperów zewnętrznych będą wykonywać większość prac rozwojowych. Inżynier bezpieczeństwa musi zapewnić, że zespoły przestrzegają planu wdrażania zasobów AWS firmy i musi ograniczyć dostęp do planu tylko dla deweloperów, którzy go potrzebują. Istnieje już szablon CloudFormation, który implementuje plan wdrożenia. Co powinien zrobić inżynier bezpieczeństwa, aby najbezpieczniej spełnić te wymagania?

Utworzenie portfolio AWS Service Catalog na koncie zarządzającym organizacji, przesłanie szablonu CloudFormation jako produktu i udostępnienie go jednostce organizacyjnej (OU) to najbezpieczniejsze rozwiązanie. Service Catalog umożliwia scentralizowane zarządzanie zatwierdzonymi zasobami AWS i ich udostępnianie użytkownikom końcowym, zapewniając zgodność z firmowymi standardami. Dostęp do szablonu jest kontrolowany na poziomie OU, co ogranicza go tylko do potrzebnych deweloperów. Pozostałe opcje są mniej odpowiednie: Użycie CloudFormation CLI do utworzenia modułu i rejestracja jako prywatne rozszerzenie z SCP nie zapewnia tak precyzyjnej kontroli dostępu do konkretnych zasobów ani katalogowania zatwierdzonych produktów. Tworzenie roli IAM z polityką zaufania i dołączanie AWSServiceCatalogEndUserFullAccess nie jest wystarczające do udostępnienia produktu w Service Catalog w sposób kontrolowany na poziomie OU. Opublikowanie rozszerzenia CloudFormation i udostępnienie go OU nie oferuje mechanizmów zarządzania cyklem życia produktu ani kontroli dostępu, które zapewnia Service Catalog.