Uma empresa usa o AWS Organizations com três unidades organizacionais (OUs) de workload: Production, Development e Testing. Os modelos do AWS CloudFormation definem e implantam a infraestrutura em contas dentro dessas OUs. Cada OU tem uma service control policy (SCP) distinta. Uma atualização de stack do CloudFormation é bem-sucedida nas OUs Development e Testing, mas falha em uma conta na OU Production com um erro de "permissões IAM insuficientes". O que o engenheiro de segurança deve fazer primeiro para solucionar esse problema?

A revisão do AWS CloudTrail na conta Production é o primeiro passo lógico, pois o erro "permissões IAM insuficientes" indica que uma ação de API específica foi negada. O CloudTrail registrará todas as chamadas de API, incluindo as negadas, e fornecerá detalhes sobre qual permissão faltou ou qual política (incluindo SCPs) a negou. Desanexar todas as SCPs da OU Production é uma ação drástica e não a primeira a ser tomada. Isso pode expor a conta a riscos de segurança e não fornece detalhes sobre a causa raiz. Verificar as permissões da função de execução do CloudFormation é importante, mas o CloudTrail fornecerá o contexto exato da falha, indicando se a função realmente não tinha as permissões necessárias ou se uma SCP as estava negando. Tornar as SCPs da OU Production idênticas às da OU Testing pode resolver o problema se a SCP for a causa, mas não é a abordagem mais eficiente. Primeiro, é preciso identificar a SCP específica que está causando o problema, e o CloudTrail é a ferramenta para isso. Além disso, as OUs Production e Testing geralmente têm requisitos de segurança diferentes, e a padronização das SCPs pode comprometer a segurança da Production.