Ein 4 Jahre altes Medienunternehmen nutzt den Funktionsumfang „alle Funktionen“ von AWS Organizations. Das Finanzteam verlangt, dass die Abrechnungsinformationen für Mitgliedskonten für niemanden zugänglich sein dürfen, auch nicht für den Root-Benutzer der Mitgliedskonten. Welche Lösung erfüllt diese Anforderung?

Die Erstellung einer Service Control Policy (SCP) und deren Anbindung an die Root-Organisationseinheit (OU) ist die korrekte Lösung. SCPs ermöglichen es, Berechtigungen für alle Konten innerhalb einer OU zu zentralisieren und zu steuern, einschließlich des Root-Benutzers. Durch das Verweigern des Zugriffs auf Abrechnungsinformationen über eine SCP wird sichergestellt, dass kein Benutzer, auch nicht der Root-Benutzer des Mitgliedskontos, darauf zugreifen kann. Die Option, eine IAM-Gruppe mit einer AWS-verwalteten Richtlinie zu verwenden, ist unzureichend, da IAM-Richtlinien den Root-Benutzer nicht einschränken können. Eine identitätsbasierte Richtlinie, die allen Benutzern den Zugriff verweigert, würde ebenfalls den Root-Benutzer nicht effektiv einschränken, da dieser standardmäßig über alle Berechtigungen verfügt. Das Konvertieren zu „konsolidierte Abrechnung“ würde die gewünschte feingranulare Kontrolle über den Zugriff auf Abrechnungsinformationen nicht bieten und ist auch nicht der Zweck dieser Funktion.