Uma empresa está configurando um ambiente multi-conta com AWS Organizations e AWS IAM Identity Center (AWS Single Sign-On). A empresa deve restringir as equipes de desenvolvimento a Regiões AWS específicas e restringir cada conta a apenas serviços AWS aprovados, com o menor overhead operacional. Qual solução atende a esses requisitos?

A opção correta é usar Políticas de Controle de Serviço (SCPs) porque elas são aplicadas no nível da organização ou da unidade organizacional (OU) e filtram as permissões máximas para todas as contas membros. Isso garante que as restrições de região e serviço sejam aplicadas de forma centralizada e com o menor overhead operacional, atendendo aos requisitos de um ambiente multi-conta. As outras opções são menos eficazes: Criar perfis vinculados a serviços com políticas do IAM no IAM Identity Center não restringe o acesso em todas as contas de forma centralizada como os SCPs. Desabilitar o AWS STS em regiões específicas pode causar problemas de funcionalidade para outros serviços que dependem do STS, além de ser uma abordagem mais drástica do que o necessário. Criar políticas baseadas em identidade personalizadas para cada conta AWS no IAM Identity Center aumentaria significativamente o overhead operacional, pois exigiria a gestão de políticas individuais por conta, o que é o oposto do que a questão pede.