Uma organização gerencia centralizadamente centenas de contas AWS com o AWS Organizations. As equipes de produto agora criam e gerenciam S3 Access Points em suas contas. Todos os S3 Access Points devem ser acessíveis apenas a partir de VPCs (sem acesso à internet). Qual é a maneira mais eficiente operacionalmente de aplicar esse requisito em toda a organização?

A opção correta é criar uma Service Control Policy (SCP) na raiz da organização. As SCPs são a maneira mais eficiente e centralizada de aplicar permissões em todas as contas de uma organização AWS, garantindo que o requisito seja imposto no momento da criação do Access Point. Ao negar s3:CreateAccessPoint a menos que a condição s3:AccessPointNetworkOrigin seja VPC, você garante que todos os novos Access Points sejam criados com acesso restrito à VPC. As outras opções são menos eficientes ou inadequadas: Aplicar uma política de recurso do S3 Access Point é ineficaz, pois a política só pode ser aplicada após a criação do Access Point, e o objetivo é evitar a criação de Access Points públicos desde o início. Usar AWS CloudFormation StackSets para implantar políticas do IAM em cada conta é mais complexo e menos centralizado do que uma SCP, exigindo gerenciamento em cada conta. Definir uma política de bucket do S3 não controla a criação de S3 Access Points; ela gerencia o acesso ao bucket em si, não as propriedades de rede dos Access Points.