Provisionnement multi-comptes et multi-régions

Un compte AWS suffit jusqu'au jour où il ne suffit plus. Dès qu'une société sépare la production, la préproduction, le réseau et les bacs à sable, la question change : comment poser la même baseline partout, comment éviter de dupliquer une transit gateway douze fois, et comment laisser les équipes provisionner sans distribuer des permissions d'administrateur. Ce sujet couvre les trois mécanismes qu'AWS propose pour cela, et surtout la ligne qui les sépare.

Ce que couvre ce sujet

• CloudFormation StackSets : stack sets, stack instances et stacks, permissions self-managed contre service-managed, cibles de déploiement et filtres de comptes, concurrence et tolérance aux échecs par Region, statuts et drift detection, et le diagnostic des opérations en échec
• AWS RAM : ce que contient un resource share, l'activation du partage dans l'organisation et le piège du trusted access, le modèle de permissions à deux couches, les types de ressources partageables hors organisation, le partage des responsabilités dans un subnet VPC partagé, et les AZ ID
• AWS Service Catalog : produits, portfolios et provisioned products, les cinq types de contraintes avec le rôle central de la launch constraint, et le choix entre portfolio partagé et catalogue copié
• AWS Control Tower : la structure d'une landing zone, les comptes Log Archive et Audit, les contrôles préventifs, détectifs et proactifs avec leur mécanisme respectif, Account Factory, et la dérive avec ce qu'elle bloque

Pourquoi c'est important

Le guide de l'examen SOA-C03 demande explicitement de provisionner et de partager des ressources entre plusieurs Regions et plusieurs comptes, et il nomme AWS RAM et CloudFormation StackSets. Les questions ne vous demandent presque jamais de définir ces services. Elles vous donnent un scénario, une opération qui affiche SUCCEEDED alors que trois comptes n'ont rien reçu, un développeur qui reçoit AccessDenied sur une ressource pourtant partagée, ou un compte déplacé d'une OU à une autre, et attendent que vous nommiez la cause.

Sur le terrain, l'enjeu est le même. Une baseline appliquée à la main sur quarante comptes diverge en quelques semaines, et personne ne sait dire lesquels sont encore conformes. Les mécanismes de ce sujet remplacent cette incertitude par un état que vous pouvez interroger.