Bir şirket, kaynakları birden çok Bölgeye yayılmış yüzlerce AWS hesabına bölecek ve özellikle izin verilen Bölgeler dışındaki tüm işlemleri reddeden bir çözüme ihtiyaç duyuyor. Hangi yaklaşım bu gereksinimi karşılar?

Doğru cevap, AWS Control Tower'ı kullanarak bir açılış bölgesi dağıtmak, Organizasyonel Birimler (OU'lar) oluşturmak ve onaylanan Bölgeler dışında hizmetlerin çalışmasını reddeden Hizmet Kontrol Politikaları (SCP'ler) eklemektir. SCP'ler, AWS Organizations içindeki tüm hesaplar için merkezi, programatik denetimler uygulayarak belirtilen Bölgeler dışındaki tüm işlemleri reddetme gereksinimini etkili bir şekilde karşılar. Bu yaklaşım, yüzlerce AWS hesabında tutarlı bir şekilde güvenlik ve uyumluluk sağlar. Diğer seçenekler bu gereksinimi karşılamaz: Her hesap için IAM rolleri oluşturmak ve koşul anahtarlarıyla IAM politikaları eklemek, yüzlerce hesap için manuel olarak yönetilmesi zor ve ölçeklenemez bir çözümdür. Her hesapta IAM kullanıcıları oluşturmak ve her kullanıcıya politika eklemek, bireysel kullanıcılar için geçerli olsa da, hesap genelinde kaynak dağıtımını engellemez ve yönetimi karmaşıklaştırır. AWS Security Hub'ı etkinleştirmek ve kontrolleri yapılandırmak, yalnızca güvenlik bulgularını izler ve raporlar; belirli Bölgeler dışındaki işlemleri doğrudan engellemez.