Firma podzieli zasoby na setki kont AWS w wielu Regionach i potrzebuje rozwiązania, które odmówi dostępu do wszelkich operacji poza specjalnie dozwolonymi Regionami. Które podejście spełnia ten wymóg?

Prawidłowa odpowiedź to wdrożenie AWS Control Tower ze strefą docelową, utworzenie jednostek organizacyjnych (OU) i dołączenie polityk kontroli usług (SCP), które odmawiają uruchamiania usług poza zatwierdzonymi Regionami. SCP są potężnym narzędziem w AWS Organizations, umożliwiającym centralne zarządzanie uprawnieniami na poziomie konta, w tym ograniczanie dostępu do Regionów. Control Tower ułatwia zarządzanie wieloma kontami i Regionami. Tworzenie ról IAM z kluczami warunkowymi na każdym koncie jest mniej skalowalne i wymagałoby ręcznego zarządzania na setkach kont. Tworzenie użytkowników IAM i dołączanie polityk blokujących dostęp do Regionów również jest nieefektywne i nie zapewnia centralnego zarządzania. AWS Security Hub służy do monitorowania zgodności i bezpieczeństwa, a nie do egzekwowania polityk dostępu do Regionów.