Se você remover a política FullAWSAccess da OU de Desenvolvimento e anexar uma política que permite todas as ações em recursos EC2, qual será a permissão efetiva resultante para os usuários na OU de Desenvolvimento?

A política de controle de serviços (SCP) anexada a uma Unidade Organizacional (OU) define as permissões máximas para todas as entidades (usuários e funções) dentro dessa OU. Ao remover a política FullAWSAccess e anexar uma SCP que permite apenas ações em recursos EC2, você está limitando as permissões efetivas para todos os usuários na OU de Desenvolvimento. As SCPs funcionam como um filtro de segurança, permitindo apenas as ações explicitamente definidas. Portanto, todas as ações de API em recursos EC2 serão permitidas, enquanto todas as outras ações de API em outros serviços serão implicitamente negadas, pois não foram explicitamente permitidas pela SCP. As outras opções estão incorretas porque não refletem o comportamento de negação implícita das SCPs para ações não permitidas.