Firma używa AWS Organizations do zarządzania wieloma kontami AWS dla działów zasobów ludzkich, finansów, rozwoju oprogramowania i produkcji. Wszyscy deweloperzy znajdują się na koncie rozwoju oprogramowania. Niektórzy deweloperzy uruchomili instancje Amazon EC2 z niezatwierdzonym oprogramowaniem. Firma musi zapewnić, że deweloperzy mogą uruchamiać instancje EC2 tylko z zatwierdzonymi aplikacjami i tylko na koncie rozwoju oprogramowania. Które rozwiązanie spełnia te wymagania?

Prawidłowa odpowiedź to użycie AWS Service Catalog. Service Catalog umożliwia tworzenie i zarządzanie katalogami zatwierdzonych produktów IT, w tym instancji EC2 opartych na zatwierdzonych AMI. Deweloperzy otrzymują dostęp tylko do tego portfolio, co gwarantuje, że mogą uruchamiać instancje wyłącznie z predefiniowanym, zatwierdzonym oprogramowaniem i tylko na koncie deweloperskim. Pozostałe opcje są mniej skuteczne lub nie spełniają wszystkich wymagań: Tworzenie AMI i odwoływanie się do nich w szablonach CloudFormation jest możliwe, ale nie zapewnia scentralizowanego zarządzania i egzekwowania zasad w taki sposób, jak Service Catalog. Deweloperzy nadal mogliby próbować uruchamiać instancje poza tymi szablonami. Reguła Amazon EventBridge z AWS Systems Manager Run Command może instalować oprogramowanie po uruchomieniu instancji, ale nie zapobiega uruchamianiu instancji z niezatwierdzonymi obrazami początkowymi. Tworzenie AMI na koncie zarządzania i wdrażanie ich za pomocą CloudFormation StackSets nie ogranicza deweloperów do uruchamiania instancji tylko na koncie deweloperskim ani nie wymusza użycia zatwierdzonych AMI w taki sposób, jak Service Catalog.