Bir şirket, AWS Control Tower ile birden çok AWS hesabı dağıttı. Güvenlik ekibinin belirli bir OU'daki tüm hesaplar için Control Tower guardrail'lerini otomatikleştirmesi, guardrail yapılandırmasını sürüm kontrolü altında tutarak değişiklikleri inceleme ve geri alma yeteneğine sahip olması, güvenlik ekibinin çözümü kendi OU'sunda sürdürmesi ve yalnızca onaylanmış yeni guardrail'lere izin verecek şekilde guardrail türlerini kısıtlaması gerekiyor. Hangi çözüm en yüksek operasyonel verimliliği sağlar?

Doğru cevap, her guardrail için ayrı CloudFormation şablonları oluşturmayı, bunları bir CodeCommit deposunda saklamayı ve her OU için bir AWS::ControlTower::EnableControl kaynağı eklemeyi içerir. Güvenlik ekibinin hesabında, CodeCommit değişikliklerinde bir EventBridge kuralının çağıracağı bir CodePipeline yapılandırmak, sürüm kontrolü, otomatik dağıtım ve değişikliklerin incelenmesi/geri alınması için en yüksek operasyonel verimliliği sağlar. Bu yaklaşım, güvenlik ekibinin kendi OU'sunda çözümü sürdürmesine ve yalnızca onaylanmış guardrail'lere izin vermesine olanak tanır. Diğer seçenekler ya hesap düzeyinde dağıtım yaparak ölçeklenebilirliği azaltır, ya da CodeBuild gibi daha az kapsamlı otomasyon araçları kullanır, ya da S3'ü sürüm kontrolü için birincil kaynak olarak kullanarak daha az entegre bir çözüm sunar.