Uma organização tem 10 contas AWS no AWS Organizations. Cada conta executa o AWS Config e pertence à OU Prod ou à OU NonProd. Cada conta tem uma regra do EventBridge que notifica um tópico SNS quando uma regra de entrada de security group do EC2 é criada com a origem 0.0.0.0/0; a equipe de segurança assina o tópico SNS. Para todas as contas da OU NonProd, a equipe de segurança deve remover a capacidade de criar regras de entrada de security group que permitam 0.0.0.0/0. Qual abordagem consegue isso com a MENOR sobrecarga operacional?

A criação de uma Service Control Policy (SCP) que nega ec2:AuthorizeSecurityGroupIngress quando aws:SourceIp for 0.0.0.0/0 e aplicá-la à OU NonProd é a solução com menor sobrecarga operacional. SCPs são aplicadas em nível de OU e se propagam para todas as contas filhas, garantindo que a restrição seja imposta de forma centralizada e automática, sem a necessidade de modificações em cada conta individualmente. Alterar a regra do EventBridge para chamar uma função Lambda adiciona complexidade e latência, pois a regra ofensora seria criada e depois removida, em vez de ser prevenida. Anexar uma regra gerenciada do AWS Config apenas audita e reporta a não conformidade, não impedindo a criação da regra. Criar uma SCP que permite ec2:AuthorizeSecurityGroupIngress somente quando aws:SourceIp não for 0.0.0.0/0 é uma abordagem de lista de permissões (allowlist) que pode ser mais complexa de gerenciar e potencialmente bloquear outras ações legítimas se não for cuidadosamente configurada.