Uma empresa usa várias contas AWS no AWS Organizations. Existe uma OU para produção e outra para desenvolvimento. As regras corporativas permitem que os desenvolvedores usem apenas serviços AWS pré-aprovados na conta de produção. Qual é a maneira mais operacionalmente eficiente de impor essa restrição para a conta de produção?

A maneira mais eficiente de impor essa restrição é criar uma Service Control Policy (SCP) e anexá-la à OU de produção. As SCPs são políticas do AWS Organizations que permitem gerenciar permissões em várias contas, definindo os limites de permissão máximos para contas ou OUs. Ao anexar a SCP à OU de produção, todas as contas dentro dessa OU herdarão as restrições, garantindo que apenas os serviços pré-aprovados possam ser usados. Criar uma política do IAM gerenciada pelo cliente e anexá-la a todos os usuários na conta de produção seria ineficiente, pois exigiria gerenciamento individual e não impediria que novos usuários ou funções tivessem permissões mais amplas. Uma política de função de trabalho do IAM não se aplica a OUs e não é a ferramenta correta para restrições em nível de conta. O Amazon API Gateway não é usado para impor restrições de serviço em nível de conta AWS.