Uma equipe de segurança deseja limitar o acesso a serviços ou ações específicas em todas as contas AWS em uma grande organização do AWS Organizations. A solução deve ser escalável e fornecer um único local para manter as permissões. O que um arquiteto de soluções deve fazer?

A criação de uma Service Control Policy (SCP) na unidade organizacional (OU) raiz é a solução mais escalável e centralizada. As SCPs permitem definir permissões máximas para todas as contas na OU, incluindo a negação de acesso a serviços ou ações específicas em toda a organização. Elas são aplicadas de forma hierárquica, garantindo que as políticas sejam herdadas por todas as contas filhas. Criar uma ACL (Access Control List) não é apropriado, pois ACLs são usadas principalmente para controle de tráfego de rede em recursos como S3 ou VPC, não para controle de acesso a serviços AWS em nível de conta. Criar um security group também não é a solução correta. Security groups controlam o tráfego de rede de instâncias EC2 e não são usados para gerenciar permissões de acesso a serviços AWS em várias contas. Criar perfis (roles) de acesso entre contas em cada conta para negar acesso seria ineficiente e não escalável para uma grande organização, pois exigiria a configuração e manutenção individual em cada conta. As SCPs oferecem um ponto de controle único e centralizado.