Uma empresa usa várias contas AWS para cargas de trabalho de produção e não produção em equipes de DevOps. Eles querem restringir centralmente o acesso a um pequeno conjunto de serviços AWS que as equipes de DevOps não usam, enquanto permitem o acesso aos serviços atualmente em uso. Eles já convidaram todas as contas para o AWS Organizations. Eles também querem administrar grupos de contas juntos. Qual combinação de ações um arquiteto de soluções deve tomar? (Escolha três.)

Para restringir centralmente o acesso a serviços específicos, uma estratégia de lista de negação (negação explícita) é a mais eficaz, pois garante que os serviços listados sejam inacessíveis, independentemente de outras permissões. O IAM Access Advisor é crucial para identificar os serviços que as equipes de DevOps realmente utilizam, permitindo que a lista de negação seja precisa e não afete as operações essenciais. A criação de Unidades Organizacionais (OUs) permite agrupar contas com base em ambientes (produção/não produção) ou equipes, facilitando a aplicação de políticas de controle de serviço (SCPs) de forma granular e eficiente a múltiplos grupos de contas. O AWS Trusted Advisor não é a ferramenta primária para revisar o uso de serviços por entidades IAM; ele foca em otimização de custos, segurança e desempenho. Remover o SCP FullAWSAccess padrão não é necessário, pois a negação explícita sobrepõe permissões. O SCP DenyAWSAccess padrão não existe.