Şirket, birden çok AWS hesabında belirli bir EC2 instance family'sinin başlatılmasını engellemek istiyor. Bu hesaplar AWS Organizations ile yönetilmektedir. Hizmet kontrol politikası kısıtlamasını tüm bu hesaplara uygulamanın operasyonel olarak en verimli yolu nedir?

Doğru cevap, hesapları bir organizasyonel birime (OU) eklemek ve SCP'leri bu OU'ya uygulamaktır. AWS Organizations'daki Hizmet Kontrol Politikaları (SCP'ler), birden çok AWS hesabında izinleri merkezi olarak yönetmek için güçlü bir yoldur. Bir SCP'yi bir OU'ya uyguladığınızda, bu OU'daki tüm hesaplar ve alt OU'lar otomatik olarak bu politikayı devralır. Bu, belirli bir EC2 instance family'sinin başlatılmasını engellemek gibi kısıtlamaları tutarlı ve verimli bir şekilde uygulamanın en operasyonel yoludur. Diğer seçenekler neden yanlış: AWS Kaynak Grupları, kaynakları düzenlemek içindir ve SCP'ler doğrudan kaynak gruplarına uygulanamaz. SCP'leri her bir geliştirici hesabına ayrı ayrı uygulamak, çok sayıda hesap olduğunda operasyonel olarak verimli değildir ve hata yapmaya açıktır. AWS Control Tower, çoklu hesap ortamlarını kurmak ve yönetmek için bir hizmet olsa da, SCP'ler Control Tower yönetim hesabına değil, doğrudan Organizations yapısındaki OU'lara veya hesaplara uygulanır.