Administradores de várias contas-membro em uma AWS Organization — incluindo aqueles que têm credenciais de usuário root para suas contas — devem ser impedidos de usar o Amazon DynamoDB, enquanto mantêm o acesso a outros serviços da AWS. Qual método aplicará essa restrição em toda a organização?

A criação de uma Service Control Policy (SCP) na conta de gerenciamento e sua anexação à raiz da organização é a maneira mais eficaz e escalável de impor restrições em todas as contas-membro. As SCPs podem negar explicitamente ações para usuários root e usuários do IAM, garantindo que a restrição seja aplicada em toda a organização, independentemente das políticas do IAM individuais. Anexar políticas do IAM em cada conta-membro é inviável e não afeta o usuário root. Remover a SCP padrão não é necessário e pode introduzir vulnerabilidades. Negar a política gerenciada AmazonDynamoDBFullAccess não impede o acesso por outras políticas ou pelo usuário root.