A empresa está organizada em equipes, cada uma possuindo uma conta AWS dentro de uma organização AWS Organizations. As equipes devem manter privilégios administrativos completos em suas próprias contas, mas só podem usar serviços AWS que foram aprovados por meio de um processo de solicitação e aprovação. Como um engenheiro de DevOps deve aplicar essa política em todas as contas?

A opção correta é criar uma Service Control Policy (SCP) que permita explicitamente apenas os serviços AWS aprovados e anexá-la à OU raiz, removendo a SCP FullAWSAccess padrão. As SCPs são políticas de segurança que podem ser aplicadas a contas ou OUs em uma organização AWS Organizations, estabelecendo permissões máximas para todas as entidades IAM nessas contas. Ao usar uma SCP de lista de permissões (allow-list) na raiz, você garante que nenhum serviço não aprovado possa ser usado em qualquer conta, mesmo que as equipes tenham privilégios administrativos. As outras opções são menos eficazes ou não atendem aos requisitos: Implantar políticas do IAM com CloudFormation StackSets e verificar com AWS Config é complexo e menos robusto, pois as políticas do IAM podem ser alteradas por administradores de conta. O AWS Control Tower e o IAM Identity Center são para provisionamento e gerenciamento de acesso, não para restringir o uso de serviços em nível organizacional. Anexar uma SCP de negação a uma OU de nível superior não garante que todos os serviços não aprovados sejam bloqueados, pois uma política de negação precisa listar explicitamente tudo o que é proibido, o que pode ser difícil de manter. Uma SCP de lista de permissões é mais segura e fácil de gerenciar.