Firma posiadająca setki kont AWS scentralizowała zakup Reserved Instances (RI). Jednostki biznesowe muszą przesyłać wnioski o zakup lub modyfikację RI do centralnego zespołu zakupów; wcześniej jednostki biznesowe dokonywały zakupów/zmian RI bezpośrednio na swoich kontach. Architekt rozwiązań musi bezpiecznie wymusić ten nowy proces. Jaką kombinację kroków należy podjąć? (Wybierz dwie opcje.)

Aby wymusić scentralizowany zakup RI, należy użyć AWS Organizations z włączonymi wszystkimi funkcjami. Jest to kluczowe, ponieważ umożliwia to zastosowanie Service Control Policies (SCP). Następnie należy utworzyć SCP, która jawnie odmawia uprawnień ec2:PurchaseReservedInstancesOffering i ec2:ModifyReservedInstances. Dołączenie tej SCP do wszystkich jednostek organizacyjnych (OU) lub bezpośrednio do kont zapewni, że żadne konto w organizacji nie będzie mogło samodzielnie kupować ani modyfikować RI, skutecznie wymuszając centralizację. Opcja z AWS Config jest nieprawidłowa, ponieważ służy do audytu i raportowania, a nie do aktywnego blokowania działań. Opcja tworzenia polityk IAM na każdym koncie jest nieefektywna i trudna do zarządzania w dużej organizacji. Skonsolidowane rozliczanie jest ważne dla finansów, ale nie wymusza kontroli uprawnień.