Firma używa AWS Control Tower z AWS Organizations i chce ograniczyć konta deweloperskie (zorganizowane w określonej jednostce organizacyjnej – OU) tak, aby mogły uruchamiać tylko instancje EC2 i RDS typu burstable i nie mogły używać niepowiązanych usług. Deweloperzy mają wiele indywidualnych kont deweloperskich. Jakie podejście powinien zalecić architekt rozwiązań, aby wymusić te ograniczenia?

Prawidłowa odpowiedź to utworzenie niestandardowej kontroli prewencyjnej (guardrail) w AWS Control Tower. Kontrole prewencyjne, implementowane jako polityki kontroli usług (SCP) w AWS Organizations, aktywnie blokują niezgodne działania, zanim zostaną wykonane. Pozwala to na wymuszenie ograniczeń, aby deweloperzy mogli uruchamiać tylko instancje EC2 i RDS typu burstable i nie mogli korzystać z niepowiązanych usług. Zastosowanie jej do jednostki organizacyjnej (OU) deweloperskiej zapewni, że wszystkie konta w tej OU będą przestrzegać tych zasad. Niestandardowa polityka kontroli usług (SCP) jest podstawą kontroli prewencyjnych w Control Tower, ale Control Tower zapewnia ujednolicone zarządzanie nimi. Niestandardowa kontrola detekcyjna tylko wykryje niezgodność po jej wystąpieniu, zamiast jej zapobiegać. Reguła AWS Config jest kontrolą detekcyjną i nie zapobiega działaniom, a jedynie je monitoruje i zgłasza.