Компания открывает новые магазины. В день запуска каждого магазина компания хочет развернуть индивидуальное веб-приложение для этого магазина. У каждого магазина будут отдельные среды для непроизводственной и производственной разработки, каждая в своем аккаунте AWS. Компания использует AWS Organizations и имеет OU, выделенное для этих аккаунтов. Сторонние команды разработчиков будут выполнять большую часть работы по разработке. Инженер по безопасности должен убедиться, что команды следуют плану развертывания ресурсов AWS компании, и должен ограничить доступ к плану только тем разработчикам, которым он необходим. Шаблон CloudFormation, реализующий план развертывания, уже существует. Что должен сделать инженер по безопасности далее, чтобы наиболее безопасно удовлетворить эти требования?

Правильный ответ — создание портфолио AWS Service Catalog в управляющем аккаунте, загрузка шаблона CloudFormation как продукта и его распространение на OU. Service Catalog позволяет централизованно управлять утвержденными ресурсами AWS и предоставлять их конечным пользователям, обеспечивая соблюдение стандартов компании. Распространение портфолио на OU гарантирует, что только авторизованные аккаунты в этом OU смогут получить доступ к продукту и развернуть его, что соответствует требованию ограничения доступа. Использование CloudFormation CLI для создания модуля и его регистрации как частного расширения не обеспечивает централизованного управления и контроля доступа, как Service Catalog. Хотя расширения CloudFormation позволяют повторно использовать код, они не предоставляют механизм для управления доступом к развертыванию ресурсов на уровне организации. Создание портфолио Service Catalog с последующим созданием роли IAM с политикой доверия и прикреплением политики AWSServiceCatalogEndUserFullAccess является избыточным и менее безопасным. Service Catalog уже имеет встроенные механизмы для управления доступом к портфолио и продуктам, и распространение портфолио на OU является более простым и безопасным способом предоставления доступа.