Uma empresa deve impedir que objetos do Amazon S3 sejam compartilhados com entidades principais do IAM que estejam fora de sua organização do AWS Organizations. A empresa está criando uma service control policy (SCP) para impor esse requisito e já habilitou o S3 Block Public Access em todos os buckets. O que a SCP deve fazer para atender ao requisito?

A opção correta é "Negar S3: com uma Condition que usa StringNotEquals em aws:ResourceOrgID, com o valor definido como ${aws:PrincipalOrgID}". Esta SCP nega todas as ações do S3 se o ID da organização do recurso (o bucket S3) não corresponder ao ID da organização da entidade principal que tenta acessá-lo. Isso impede que entidades principais fora da organização acessem buckets S3, mesmo que o bucket seja compartilhado. A opção "Negar S3:PutAccountPublicAccessBlock com uma Condition que usa StringLike em aws:PrincipalArn e inclui os ARNs de entidades principais externas do IAM" está incorreta porque o S3 Block Public Access já está habilitado e esta SCP não impede o compartilhamento direto de objetos. A opção "Permitir S3: com uma Condition que usa StringNotEquals em aws:PrincipalOrgID, com o valor definido como ${aws:PrincipalOrgID}" está incorreta porque uma SCP deve negar explicitamente o acesso para impor restrições, e não permitir. A opção "Negar S3: com uma Condition que usa StringLike em aws:PrincipalArn e inclui os ARNs de entidades principais externas do IAM" está incorreta porque seria impraticável listar todos os ARNs de entidades principais externas e não cobriria novas entidades principais.