Uma organização usa o AWS Organizations para gerenciar várias contas AWS. Um arquiteto de soluções deve aplicar uma política em que apenas as funções de administrador podem executar ações do IAM em toda a organização. O arquiteto não tem acesso a todas as contas AWS. Qual abordagem impõe isso com o menor overhead operacional?

A Service Control Policy (SCP) é a ferramenta ideal para impor permissões em várias contas AWS gerenciadas pelo AWS Organizations, especialmente quando o arquiteto não tem acesso a todas as contas. Ao anexar uma SCP à Unidade Organizacional (OU) raiz, ela se aplica automaticamente a todas as contas filhas. A opção de negar explicitamente ações do IAM para todos, exceto administradores, é um padrão de segurança eficaz (deny-by-default). A primeira opção está incorreta porque SCPs não podem "permitir" ações; elas apenas filtram as permissões já concedidas pelas políticas de identidade do IAM. A segunda opção (CloudTrail + Lambda) é reativa e tem alto overhead operacional, pois a ação já teria ocorrido antes da negação. A quarta opção (permissions boundary) exige que o arquiteto tenha acesso a todas as contas para anexar a política a cada função de administrador, o que não é o caso.