Um aplicativo de auditoria de segurança em uma conta AWS assume uma função IAM para acessar outras contas na mesma AWS Organization. Uma auditoria de segurança descobriu que os usuários nas contas de membro auditadas podem modificar ou excluir a função IAM do aplicativo de auditoria. A empresa precisa impedir que qualquer pessoa, exceto uma função IAM de administrador confiável, altere essa função de auditoria. Qual abordagem atenderá a esse requisito?

A opção correta é criar um SCP (Service Control Policy) da organização que negue modificações na função IAM do aplicativo de auditoria, com uma condição que permita a função IAM do administrador confiável, e anexá-lo à raiz da organização. SCPs são aplicados em toda a organização e podem negar explicitamente ações, mesmo que uma política IAM local as permita. Ao anexar à raiz, a política se aplica a todas as contas filhas, garantindo que ninguém, exceto o administrador confiável, possa alterar a função de auditoria. As outras opções estão incorretas porque: Anexar um SCP ao serviço IAM em cada conta não é uma funcionalidade válida de SCPs. SCPs são anexados a OUs ou à raiz. Limites de permissões IAM (Permissions Boundaries) definem as permissões máximas que uma entidade IAM pode ter, mas não negam explicitamente ações para outras entidades ou para usuários que já possuem permissões administrativas. Eles não impedem que um usuário com permissões de administrador altere a função.