Uma empresa usa o AWS Organizations para gerenciar várias contas AWS para diferentes departamentos. A conta de gerenciamento possui um bucket Amazon S3 que contém relatórios de projetos. A empresa deseja restringir o acesso a este bucket S3 apenas a usuários de contas dentro da AWS Organization. Qual solução atende a esse requisito com o menor overhead operacional?

A chave de condição global aws:PrincipalOrgID é a solução mais eficiente porque restringe o acesso ao bucket S3 apenas a entidades (usuários ou funções) que pertencem a qualquer conta dentro da AWS Organization especificada pelo ID. Isso garante que apenas membros da organização possam acessar os relatórios, com baixo overhead operacional, pois a política é aplicada diretamente no bucket e não exige gerenciamento de usuários ou contas individuais. A opção de usar aws:PrincipalOrgPaths é mais complexa e não necessária, pois a intenção é permitir acesso a qualquer conta na organização, não apenas a OUs específicas. Monitorar eventos do CloudTrail para atualizar a política do bucket seria reativo, complexo e com alto overhead. Marcar usuários com aws:PrincipalTag seria um esforço manual e propenso a erros, além de não garantir que o acesso seja restrito apenas a membros da organização.