A empresa criará contas filhas separadas no AWS Organizations para as equipes de DevOps. O AWS CloudTrail está habilitado em todas as contas e entrega logs de auditoria para um bucket S3 em uma conta central. O engenheiro de segurança deve impedir que os membros da equipe de DevOps modifiquem ou desabilitem essa configuração. Como isso deve ser imposto?

A resposta correta é criar uma Service Control Policy (SCP) que negue alterações no CloudTrail e anexá-la à OU ou às contas relevantes. As SCPs são políticas de gerenciamento que você pode usar para gerenciar permissões em sua organização, garantindo que as contas filhas não possam desabilitar ou modificar o CloudTrail, mesmo que tenham permissões de administrador. As SCPs se aplicam a todas as entidades IAM (usuários e funções) na conta, incluindo o usuário root. Anexar uma política do IAM ao usuário root não é uma prática recomendada, pois o usuário root deve ser usado apenas para tarefas essenciais e não para operações diárias. Além disso, uma política do IAM anexada ao usuário root em cada conta não impediria que outros usuários ou funções com permissões elevadas desabilitassem o CloudTrail. Adicionar uma política de bucket do S3 na conta de destino central não impede que as equipes de DevOps modifiquem o CloudTrail em suas contas de origem; ela apenas controla o acesso ao bucket de logs. Anexar uma política do IAM a um novo grupo do IAM e exigir que os membros da equipe usem usuários desse grupo não é suficiente, pois um usuário com permissões elevadas ou o usuário root ainda poderia desabilitar o CloudTrail.