Bir şirket, insan kaynakları, finans, yazılım geliştirme ve üretim için birden fazla AWS hesabını yönetmek üzere AWS Organizations kullanmaktadır. Tüm geliştiriciler yazılım geliştirme hesabındadır. Bazı geliştiriciler onaylanmamış yazılımlarla Amazon EC2 örnekleri başlatmıştır. Şirket, geliştiricilerin EC2 örneklerini yalnızca onaylanmış uygulamalarla ve yalnızca yazılım geliştirme hesabında başlatabilmesini sağlamalıdır. Bu gereksinimleri hangi çözüm karşılar?

AWS Service Catalog, yöneticilerin onaylanmış AWS kaynaklarını (bu durumda onaylanmış yazılımlara sahip EC2 AMI'leri) ürünler olarak tanımlamasına ve bu ürünleri portföyler halinde düzenlemesine olanak tanır. Geliştiricilere yalnızca bu Service Catalog portföyüne erişim izni verilerek, sadece onaylanmış AMI'lerden EC2 örnekleri başlatmaları sağlanır ve bu örnekler otomatik olarak yazılım geliştirme hesabında oluşturulur. Bu, hem onaylanmış yazılım kullanımını hem de doğru hesapta başlatmayı zorunlu kılar. Diğer seçenekler: CloudFormation şablonları, AMI ID'lerini referans alsa da, geliştiricilerin şablonu değiştirmesini veya doğrudan onaylanmamış AMI'lerden örnek başlatmasını engellemez. EventBridge ve Systems Manager Run Command, örnekler başlatıldıktan sonra müdahale eder, ancak onaylanmamış yazılıma sahip bir örneğin başlangıçta oluşturulmasını engellemez. Yönetim hesabında AMI oluşturmak ve CloudFormation StackSets kullanmak, geliştiricilerin yönetim hesabına erişimini gerektirir ki bu bir güvenlik riski taşır ve sorumluluk ayrılığı prensibine aykırıdır.