Bir şirket, AWS Organizations ile AWS Control Tower kullanıyor ve geliştirme hesaplarını (belirli bir OU'da düzenlenmiş) yalnızca burstable EC2 ve RDS instance type'larını başlatabilecekleri ve ilgisiz hizmetleri kullanamayacakları şekilde kısıtlamak istiyor. Geliştiricilerin birçok bireysel geliştirme hesabı var. Bir çözümler mimarı bu kısıtlamaları uygulamak için hangi yaklaşımı önermelidir?

Doğru cevap, AWS Control Tower özel önleyici kontrolü (guardrail) kullanmaktır. Önleyici kontroller, AWS Organizations Service Control Policy'leri (SCP'ler) üzerine inşa edilmiştir ve belirtilen OU'daki hesapların belirli eylemleri gerçekleştirmesini aktif olarak engeller. Bu durumda, geliştirme hesaplarının yalnızca burstable EC2 ve RDS örnek türlerini başlatmasını sağlayacak ve ilgisiz hizmetleri kullanmalarını engelleyecek bir SCP oluşturulur ve Control Tower aracılığıyla önleyici bir kontrol olarak uygulanır. Diğer seçenekler neden yanlış: Özel bir SCP oluşturmak ve doğrudan OU'ya uygulamak teknik olarak mümkün olsa da, AWS Control Tower kullanıldığı belirtildiği için Control Tower'ın kendi guardrail mekanizmasını kullanmak en iyi uygulamadır. Control Tower, SCP'leri yönetmek için basitleştirilmiş bir arayüz sağlar. Tespit kontrolleri (detective guardrails), politikaya uyumsuzlukları tespit eder ancak engellemez. Bu senaryoda, istenmeyen kaynakların oluşturulmasını aktif olarak engellemek gerekmektedir. AWS Config kuralı oluşturmak, kaynakların uyumluluğunu denetler ancak engellemez. Ayrıca, bu kuralı AWS CloudFormation StackSets ile dağıtmak, Control Tower'ın yerleşik yönetim özelliklerini kullanmamak anlamına gelir ve daha karmaşık bir yaklaşım olur.