Uma empresa de mídia de 4 anos usa o conjunto de recursos de todos os recursos do AWS Organizations. A equipe financeira exige que as informações de faturamento das contas de membro não sejam acessíveis a ninguém, incluindo o usuário root das contas de membro. Qual solução atende a esse requisito?

A criação de uma Política de Controle de Serviço (SCP) anexada à Unidade Organizacional (OU) raiz é a solução correta porque as SCPs são usadas para gerenciar permissões em toda a organização, limitando as ações que as contas membro podem realizar. Elas se aplicam a todos os usuários e funções, incluindo o usuário root, dentro das contas afetadas. Ao negar explicitamente o acesso às informações de faturamento na SCP, você garante que ninguém, nem mesmo o usuário root das contas membro, possa acessá-las. A opção de adicionar usuários da equipe financeira a um grupo do IAM com uma política gerenciada da AWS chamada Billing não atende ao requisito, pois essa política concede acesso, não o nega, e não afeta o usuário root. Anexar uma política baseada em identidade para negar acesso não é suficiente, pois as políticas baseadas em identidade não podem restringir o usuário root. Converter para o conjunto de recursos de faturamento consolidado não resolve o problema de acesso, pois essa funcionalidade é para faturamento centralizado, não para controle de permissões.