Die Organisation delegiert einen bestimmten IP-Adressbereich für VPC-CIDRs und Nicht-Cloud-Hardware. Sie müssen verhindern, dass Prinzipale außerhalb des Unternehmens-IP-Bereichs AWS-Aktionen über die Konten der Organisation hinweg ausführen. Welcher Ansatz erzwingt diese Anforderung?

Die Erstellung einer Service Control Policy (SCP), die Anfragen von Quell-IP-Adressen außerhalb des Unternehmens-IP-Bereichs ablehnt und an das Organisations-Root angehängt wird, ist die korrekte Methode. SCPs sind ein leistungsstarkes Tool in AWS Organizations, um Berechtigungen auf Organisationsebene zu steuern. Eine "Deny"-Anweisung in einer SCP überschreibt alle "Allow"-Anweisungen in IAM-Richtlinien und stellt sicher, dass keine Aktionen von außerhalb des definierten IP-Bereichs ausgeführt werden können. AWS Firewall Manager und Amazon Network Firewall sind für den Netzwerkverkehr und die Filterung auf Paketebene gedacht, nicht für die Steuerung von AWS-API-Aufrufen auf Prinzipalebene. GuardDuty ist ein Bedrohungserkennungsdienst und keine Methode zur Durchsetzung von Zugriffsrichtlinien. Eine SCP, die nur Anfragen aus dem IP-Bereich des Unternehmens zulässt, wäre ineffektiv, da sie keine explizite Ablehnung für andere IP-Bereiche enthält und somit nicht die gewünschte Sicherheit bietet.