Компания использует AWS Organizations для управления несколькими аккаунтами AWS для отделов кадров, финансов, разработки программного обеспечения и производства. Все разработчики находятся в аккаунте разработки программного обеспечения. Некоторые разработчики запускали инстансы Amazon EC2 с неутвержденным программным обеспечением. Компания должна гарантировать, что разработчики могут запускать инстансы EC2 только с утвержденными приложениями и только в аккаунте разработки программного обеспечения. Какое решение соответствует этим требованиям?

AWS Service Catalog позволяет централизованно управлять одобренными ИТ-сервисами. Создав портфолио с продуктами EC2, использующими только утвержденные AMI, и предоставив разработчикам доступ исключительно к этому портфолио, компания гарантирует запуск инстансов только с одобренным ПО. Это решение также ограничивает запуск инстансов аккаунтом разработки, так как доступ к Service Catalog можно настроить по аккаунтам. Неправильные варианты: Создание AMI и использование CloudFormation напрямую не предотвращает запуск разработчиками инстансов с другими, неутвержденными AMI. Amazon EventBridge и AWS Systems Manager Run Command реагируют уже после запуска инстанса, что не предотвращает использование неутвержденного ПО изначально. Создание AMI в управляющем аккаунте и использование CloudFormation StackSets для развертывания не ограничивает разработчиков в выборе AMI при запуске инстансов, если им предоставлены прямые разрешения EC2.