Várias equipes de desenvolvimento implantam cargas de trabalho de produção em uma conta AWS de produção compartilhada. Recentemente, membros de uma equipe de desenvolvimento encerraram uma instância EC2 pertencente a outra equipe. Os desenvolvedores usam federação SAML via AWS Organizations para assumir funções. Você deve impedir que os desenvolvedores gerenciem instâncias pertencentes a outras equipes, permitindo que eles gerenciem suas próprias instâncias. Qual estratégia atende a esses requisitos?

A estratégia correta utiliza tags de sessão do AWS STS para associar a unidade de desenvolvimento ao principal que assume a função. Ao adicionar uma condição StringNotEquals na política do IAM da função assumida, que compara a tag do recurso (DevelopmentUnit) com a tag do principal (aws:PrincipalTag/DevelopmentUnit), impede-se que os desenvolvedores gerenciem recursos que não pertencem à sua unidade. Isso garante que eles só possam encerrar instâncias EC2 que possuem a mesma tag DevelopmentUnit que sua tag de sessão. As outras opções são incorretas porque: Criar SCPs separados por OU com StringNotEquals não escalaria bem e seria complexo de gerenciar, além de não ser a forma mais granular de controle para este caso. Usar um SCP com StringEquals para permissão na OU raiz não atenderia ao requisito de negação para recursos de outras equipes. Criar políticas do IAM separadas para cada unidade de desenvolvimento e atribuí-las via STS não é a abordagem mais eficiente para controle baseado em tags de sessão e pode levar a um grande número de políticas.