Uma equipe de pesquisa precisa de controle total de gerenciamento dos recursos em sua conta AWS, mas deve ser impedida de criar usuários IAM. O conjunto de permissões do IAM Identity Center da equipe concede AdministratorAccess. Como você pode garantir que os membros da equipe de pesquisa não possam criar usuários IAM?

A opção correta é criar uma Service Control Policy (SCP) que negue iam:CreateUser e anexá-la à conta AWS da equipe de pesquisa. As SCPs são usadas em uma AWS Organization para gerenciar permissões em todas as contas da organização, incluindo a negação explícita de ações específicas. Uma negação explícita em uma SCP substitui qualquer permissão de "permitir" em políticas de identidade ou de recurso, garantindo que a equipe não possa criar usuários IAM, mesmo com AdministratorAccess. Anexar uma política do IAM ao conjunto de permissões Research Administrator que negue explicitamente iam:CreateUser não funcionaria, pois o AdministratorAccess já concede permissão para criar usuários. Criar uma política do IAM que permita todas as ações, exceto iam:CreateUser, e usá-la como um limite de permissões para o conjunto de permissões Research Administrator também não seria eficaz, pois os limites de permissões definem o conjunto máximo de permissões que uma identidade pode ter, mas não negam explicitamente ações que já foram permitidas. Implantar um AWS Lambda para excluir usuários IAM recém-criados é uma solução reativa e não impede a criação inicial, além de ser ineficiente e complexa.