Administratoren in mehreren Mitgliedskonten einer AWS Organization – einschließlich derer, die Root-Anmeldeinformationen für ihre Konten besitzen – müssen daran gehindert werden, Amazon DynamoDB zu verwenden, während sie den Zugriff auf andere AWS-Dienste behalten. Welche Methode erzwingt diese Einschränkung organisationsweit?

Die Erstellung einer Service Control Policy (SCP) im Verwaltungskonto und deren Anhang an die Organisations-Root ist die effektivste Methode, um den Zugriff auf DynamoDB organisationsweit zu verweigern. SCPs setzen maximale Berechtigungsgrenzen für alle Konten innerhalb einer AWS Organization, einschließlich des Root-Benutzers, und können nicht durch IAM-Richtlinien in den Mitgliedskonten überschrieben werden. Das Anhängen von IAM-Richtlinien in jedem Mitgliedskonto wäre ineffizient und würde den Root-Benutzer nicht einschränken, da dieser standardmäßig alle Berechtigungen besitzt und IAM-Richtlinien nicht für den Root-Benutzer gelten. Das Verweigern der verwalteten Richtlinie AmazonDynamoDBFullAccess ist unzureichend, da Benutzer immer noch über andere Richtlinien oder Inline-Richtlinien auf DynamoDB zugreifen könnten. Das Entfernen der Standard-SCP ist nicht notwendig; eine zusätzliche SCP kann einfach hinzugefügt werden, um die gewünschte Einschränkung zu implementieren.