Das Unternehmen hat die IP-Bereiche des Unternehmensnetzwerks geändert. Zehn S3-Buckets in verschiedenen Konten beschränken den Zugriff auf den privaten Unternehmensnetzwerkbereich. Zwei Organisationseinheiten (OUs) müssen ihren Zugriff entzogen bekommen. Wie sollten Sie die Buckets aktualisieren und den Zugriff für die beiden OUs entziehen?

Die Aktualisierung der ressourcenbasierten Richtlinien jedes S3-Buckets ist notwendig, um den Zugriff auf den neuen IP-Bereich des Unternehmensnetzwerks zu beschränken. Da die Buckets in verschiedenen Konten liegen, müssen die Bucket-Richtlinien direkt angepasst werden. Um den Zugriff für die beiden OUs zu entziehen, ist eine Service Control Policy (SCP) die effektivste Methode. Eine SCP, die den Zugriff auf die S3-Buckets verweigert und an die OUs angehängt wird, stellt sicher, dass alle Konten innerhalb dieser OUs den Zugriff verlieren, unabhängig von ihren individuellen IAM-Berechtigungen. Die Option, nur eine SCP für den neuen IP-Bereich zu erstellen, reicht nicht aus, da die bestehenden Bucket-Richtlinien immer noch den alten IP-Bereich zulassen könnten. Die Verwendung einer Berechtigungsgrenze für die OrganizationAccountAccessRole wäre zu spezifisch und würde nicht alle möglichen Zugriffswege innerhalb der OUs abdecken, im Gegensatz zu einer SCP, die umfassender wirkt.