Компания хочет запретить разработчикам запускать определённое семейство инстансов EC2 в нескольких аккаунтах AWS, управляемых с помощью AWS Organizations. Какой способ является наиболее операционно эффективным для применения ограничения политики управления сервисами (SCP) ко всем этим аккаунтам?

Наиболее операционно эффективный способ — добавить аккаунты в организационное подразделение (OU) и применить SCP к этому OU. SCP, примененные к OU, автоматически наследуются всеми аккаунтами в этом OU и любыми вложенными OU, обеспечивая централизованное и масштабируемое управление политиками. Применение SCP к каждому аккаунту разработчика требует ручного управления для каждого аккаунта, что неэффективно и подвержено ошибкам. AWS Resource Groups используются для организации ресурсов, а не для применения SCP. AWS Control Tower упрощает настройку и управление многоаккаунтной средой, но SCP применяются к OU внутри Control Tower, а не к управляющему аккаунту напрямую для распространения на другие аккаунты.