Q95 — AWS SAA-C03 第12章

第 95/100 题 | ← 返回第12章

Q895.开发团队在其开发、准备和生产环境中使用多个 AWS 账户.团队成员一直在启动未充分利用的大型 Amazon EC2 实例.解决方案架构师必须防止在所有账户中启动大型实例.解决方案架构师如何以最少的运营开销满足这一要求?

• A. 更新 IAM 策略以拒绝启动大型 EC2 实例.将策略应用于所有用户.
• B. 在 AWS 资源访问管理器中定义一种资源，以防止启动大型 EC2 实例.
• C. 在每个账户中创建一个 IAM 角色，用于拒绝启动大型 EC2 实例.授予开发人员 IAM 组对该角色的访问权限.
• D. 使用默认策略在管理账户中的 AWS Organizations 中创建一个组织.创建拒绝启动大型 EC2 实例的服务控制策略 (SCP)，并将其应用于 AWS 账户. ✓

正确答案: D. 使用默认策略在管理账户中的 AWS Organizations 中创建一个组织.创建拒绝启动大型 EC2 实例的服务控制策略 (SCP)，并将其应用于 AWS 账户.

解析

为了以最少的运营开销防止跨多个 AWS 账户启动大型 EC2 实例，可以实施以下解决方案:D. 使用默认策略在管理账户中的 AWS Organizations 中创建一个组织.创建一个拒绝启动大型 EC2 实例的服务控制策略 (SCP) 并将其应用于 AWS 账户.AWS Organizations 是一项支持管理层次结构中的多个 AWS 账户的服务.通过在主账户中创建组织并使用默认策略，您可以建立统一的控制平面来管理成员账户中的策略.为了防止启动大型 EC2 实例，您可以创建一个服务控制策略 (SCP)，拒绝启动此类实例，并将其应用于组织内的 AWS 账户.此 SCP 充当护栏，阻止成员账户中的用户启动大型 EC2 实例.这种方法可以集中控制和管理组织内的账户.它允许在多个账户之间轻松实施策略，而无需单独更新每个账户中的 IAM 策略或角色，从而降低运营开销.选项 A 建议更新 IAM 策略以拒绝启动大型 EC2 实例并将其应用于所有用户.这种方法需要为每个用户更新单独的 IAM 策略，随着用户和账户数量的增加，管理起来可能很麻烦且耗时.选项 B 建议在 AWS 资源访问管理器 (RAM) 中定义资源以防止启动大型 EC2 实例.但是，RAM 主要用于跨账户共享资源，不提供对实例启动的细粒度控制.选项 C 建议在每个账户中创建一个 IAM 角色，以拒绝启动大型 EC2 实例，并授予开发人员 IAM 组对该角色的访问权限.虽然这种方法可以阻止实例启动，但它需要管理每个账户中的 IAM 角色并将各个开发人员分配到 IAM 组，从而导致更高的运营开销.总之，为了满足以最少的运营开销防止跨多个 AWS 账户启动大型 EC2 实例的要求，在 AWS Organizations 中创建一个组织，使用默认策略，并应用拒绝启动的服务控制策略 (SCP)将大型 EC2 实例添加到成员账户（选项 D）是合适的解决方案.