Uma AWS Organization é gerenciada por uma equipe de segurança e uma equipe de DevOps; ambas usam o IAM Identity Center (SSO). O grupo DevOps tem um conjunto de permissões chamado DevOps com AdministratorAccess anexado e aplicado a todas as contas. A equipe de segurança anexou um SCP na raiz da organização para impedir que o DevOps acesse o IAM Identity Center na conta de gerenciamento, mas o DevOps ainda consegue acessá-lo. Qual alteração bloqueará o acesso do DevOps ao IAM Identity Center na conta de gerenciamento?

A resposta correta é atualizar o conjunto de permissões do DevOps no IAM Identity Center. SCPs (Service Control Policies) são avaliados no nível da organização e não podem ser usados para negar acesso a uma entidade principal específica dentro de uma conta. Eles se aplicam a todos os usuários e funções em uma conta. O IAM Identity Center gerencia as permissões para usuários e grupos que acessam contas da AWS. Ao adicionar uma negação explícita para sso: e sso-directory: com uma condição StringEquals comparando aws:SourceAccount com o ID da conta de gerenciamento, você restringe especificamente o grupo DevOps de acessar o IAM Identity Center apenas na conta de gerenciamento, enquanto mantém o acesso total em outras contas. As outras opções são incorretas porque mover a conta de gerenciamento para uma OU não altera a forma como o SCP é aplicado a ela (ainda se aplicaria a todos na conta), modificar o SCP para referenciar um ARN de função é ineficaz, pois SCPs não funcionam dessa forma, e criar um novo conjunto de permissões com negação explícita sem a condição aws:SourceAccount negaria o acesso em todas as contas, o que não é o objetivo.