Uma organização possui várias contas AWS sob o AWS Organizations. Os administradores têm usado as credenciais de usuário root em contas de membro, e a empresa deseja bloquear quaisquer ações de usuário root em recursos EC2 em todas as contas de membro. Qual é a maneira apropriada para um administrador SysOps impor esse requisito centralmente?

A resposta correta é criar uma Política de Controle de Serviço (SCP) na conta de gerenciamento da AWS Organizations. As SCPs permitem gerenciar permissões centralmente para todas as contas membro, garantindo que as políticas de segurança sejam aplicadas de forma consistente em toda a organização. Negar explicitamente as ações de usuário root em recursos EC2 através de uma SCP é a maneira mais eficaz e escalável de impor esse requisito. Anexar uma política IAM baseada em identidade em cada conta de membro é ineficiente e propenso a erros, pois exigiria configuração manual em cada conta e não garantiria a conformidade em novas contas. O AWS Config é uma ferramenta de auditoria e conformidade que detecta desvios de configuração, mas não impede ações. O Amazon Inspector é um serviço de segurança que ajuda a identificar vulnerabilidades, mas não bloqueia ações de usuário root.