Firma zarządza wieloma kontami AWS za pomocą AWS Organizations. Przepisy regulacyjne wymagają, aby określone konta członkowskie były ograniczone do zdefiniowanego zestawu regionów AWS, w których można wdrażać zasoby. Tagowanie zasobów musi być egzekwowane zgodnie ze standardem grupowym i zarządzane centralnie przy minimalnej konfiguracji. Jakie podejście powinien zastosować architekt rozwiązań, aby zaimplementować te wymagania?

Prawidłowa odpowiedź to skojarzenie kont członkowskich z nową jednostką organizacyjną (OU), zastosowanie polityki tagowania i użycie polityki kontroli usług (SCP) z warunkami do ograniczenia regionów. AWS Organizations pozwala na centralne zarządzanie politykami. Tworząc OU, można grupować konta i stosować do nich polityki tagowania oraz SCP, które egzekwują ograniczenia regionalne. SCP są potężnym narzędziem do zarządzania uprawnieniami na poziomie organizacyjnym, a warunki pozwalają na precyzyjne określenie, w których regionach zasoby mogą być tworzone. Polityki tagowania zapewniają egzekwowanie standardów tagowania w całej organizacji. Nieprawidłowe odpowiedzi: Tworzenie reguły AWS Config na każdym koncie jest nieefektywne i nie spełnia wymogu centralnego zarządzania. Reguły Config służą do audytu zgodności, a nie do egzekwowania ograniczeń na poziomie tworzenia zasobów. Wyłączanie regionów z poziomu konsoli AWS Billing and Cost Management nie jest funkcją dostępną w AWS Organizations do ograniczania regionów dla kont członkowskich. Skojarzenie kont członkowskich bezpośrednio z rootem nie jest najlepszą praktyką, ponieważ polityki stosowane do roota wpływają na wszystkie konta, co może być zbyt restrykcyjne. Tworzenie OU zapewnia większą elastyczność i granularność zarządzania.