Ein Forschungsteam benötigt die vollständige Verwaltungskontrolle über die Ressourcen in seinem AWS-Konto, muss aber daran gehindert werden, IAM-Benutzer zu erstellen. Der Berechtigungssatz des IAM Identity Center des Teams gewährt AdministratorAccess. Wie können Sie sicherstellen, dass Mitglieder des Forschungsteams keine IAM-Benutzer erstellen können?

Die korrekte Antwort ist die Verwendung einer Service Control Policy (SCP). SCPs sind eine Funktion von AWS Organizations, die es Ihnen ermöglichen, Berechtigungen für alle Konten in Ihrer Organisation zentral zu verwalten. Indem Sie eine SCP erstellen, die iam:CreateUser explizit verweigert und diese an das AWS-Konto des Forschungsteams anhängen, stellen Sie sicher, dass kein Benutzer in diesem Konto IAM-Benutzer erstellen kann, selbst wenn seine IAM-Berechtigungen AdministratorAccess gewähren. SCPs überschreiben alle IAM-Berechtigungen. Das Anhängen einer IAM-Richtlinie an den Berechtigungssatz würde nicht funktionieren, da eine explizite Verweigerung in einer IAM-Richtlinie zwar eine explizite Erlaubnis in einer anderen IAM-Richtlinie überschreibt, aber die AdministratorAccess-Richtlinie bereits die Erlaubnis enthält. Eine Berechtigungsgrenze würde die maximalen Berechtigungen festlegen, aber nicht explizit iam:CreateUser verweigern, wenn AdministratorAccess dies erlaubt. Eine Lambda-Funktion wäre eine reaktive Lösung, die Benutzer erst nach ihrer Erstellung löscht, was nicht dem präventiven Sicherheitsansatz entspricht, der hier gefordert ist.