Um administrador de segurança precisa restringir o uso das credenciais do usuário root em contas de membros em uma organização do AWS Organizations. Todos os recursos estão habilitados. A conta de gerenciamento é usada apenas para faturamento e administração, não para operações. Como o administrador pode restringir o uso do usuário root da conta de membro em toda a organização?

A criação de uma Unidade Organizacional (OU) e a aplicação de uma Service Control Policy (SCP) que restringe o uso do usuário root é a abordagem mais eficaz e escalável para gerenciar permissões em várias contas de membro. As SCPs permitem definir permissões máximas para todas as contas dentro de uma OU, incluindo a conta root, garantindo que as restrições sejam aplicadas de forma centralizada. Desabilitar o usuário root na raiz da organização não é uma opção válida, pois o usuário root é inerente a cada conta AWS e não pode ser desabilitado globalmente. A habilitação de MFA é uma boa prática de segurança, mas não restringe o uso do usuário root. Configurar políticas de usuário do IAM para restringir o usuário root não é possível, pois as políticas de usuário do IAM não se aplicam ao usuário root; apenas SCPs podem restringir o usuário root. A integração do CloudTrail com o CloudWatch Logs é útil para monitoramento e auditoria, mas não impede o uso do usuário root.