A empresa alterou os intervalos de IP da rede corporativa. Dez buckets S3 em diferentes contas restringem o acesso ao intervalo de rede corporativa privada. Duas unidades organizacionais (OUs) devem ter seu acesso revogado. Como você deve atualizar os buckets e revogar o acesso para as duas OUs?

A opção correta aborda ambos os requisitos: atualizar os buckets para o novo intervalo de IP e revogar o acesso para as OUs específicas. As políticas baseadas em recurso (políticas de bucket S3) são o local apropriado para restringir o acesso por intervalo de IP diretamente nos buckets. Os SCPs (Service Control Policies) são a maneira eficaz de negar acesso a recursos em toda uma OU, garantindo que as contas dentro dessas OUs não possam acessar os buckets S3, mesmo que suas políticas de identidade permitam. As outras opções são incorretas porque: A primeira opção sugere criar um SCP que negue o acesso, mas não especifica como ele interage com a permissão do novo intervalo de IP, e a negação de SCPs é avaliada antes das permissões. A segunda opção tenta usar um SCP para permitir o acesso por IP, o que é menos granular e eficaz do que uma política de bucket para esse fim, e a criação de dois SCPs separados para permitir e negar pode levar a conflitos ou complexidade desnecessária. A quarta opção sugere um limite de permissões na OrganizationAccountAccessRole, que é uma função específica para acesso entre contas e não a ferramenta mais adequada para negar acesso a buckets S3 para todas as entidades dentro de uma OU.