Uma conta com menos de um ano está em uma OU do AWS Organizations. A empresa deseja uma estrutura do Organizations e um SCP que permitam apenas os serviços atualmente usados nessa conta. O IAM Access Analyzer será usado para determinar os serviços ativos. Quais etapas atenderão a esse requisito?

A resposta correta estabelece um controle granular e seguro. Ao criar um SCP que permite apenas os serviços identificados pelo IAM Access Analyzer, você implementa o princípio do menor privilégio. Mover a conta para uma nova OU e anexar este SCP a ela garante que a política seja aplicada especificamente a essa conta, isolando-a de outras políticas. Desanexar o SCP FullAWSAccess padrão é crucial para que o novo SCP restritivo seja efetivo, pois o FullAWSAccess anularia qualquer restrição. As opções incorretas falham por diferentes motivos: Negar serviços não é tão eficaz quanto permitir apenas os necessários, pois é mais difícil prever todos os serviços que devem ser negados. Anexar o SCP à raiz da organização aplicaria a restrição a todas as contas, o que não é o objetivo. Anexar o SCP à conta de gerenciamento não o aplicaria à conta de membro desejada.