Das Unternehmen ist in Teams organisiert, wobei jedes Team ein AWS-Konto innerhalb einer AWS Organizations-Organisation besitzt. Die Teams müssen volle Administratorrechte in ihren eigenen Konten behalten, dürfen aber nur AWS-Services nutzen, die durch einen Anforderungs- und Genehmigungsprozess genehmigt wurden. Wie sollte ein DevOps-Ingenieur diese Richtlinie kontoübergreifend durchsetzen?

Die korrekte Antwort ist, eine Service Control Policy (SCP) zu erstellen, die explizit nur die genehmigten AWS-Services zulässt, diese an die Root-OU anzuhängen und die Standard-SCP FullAWSAccess zu entfernen. SCPs sind die effektivste Methode, um Berechtigungen kontoübergreifend in AWS Organizations zu verwalten, da sie maximale Berechtigungen für alle Prinzipale in den betroffenen Konten festlegen. Eine explizite Erlaubnisrichtlinie (Allow-List) ist sicherer als eine Verweigerungsrichtlinie (Deny-List), da sie nur das zulässt, was explizit genehmigt wurde, und alles andere implizit verweigert. Die anderen Optionen sind weniger geeignet: Das Bereitstellen von IAM-Richtlinien mit CloudFormation StackSets ist nicht so effektiv, da IAM-Richtlinien von Administratoren in den einzelnen Konten geändert oder umgangen werden könnten, was die Anforderung "volle Administratorrechte behalten" untergräbt. AWS Config-Regeln würden nur die Einhaltung prüfen, aber nicht die Umgehung verhindern. AWS Control Tower ist ein Governance-Tool, aber es erzwingt Service-Einschränkungen nicht direkt auf der Ebene, die hier benötigt wird. Es nutzt SCPs im Hintergrund für bestimmte Guardrails, aber die direkte Anwendung einer SCP ist hier