Ein Gesundheitsunternehmen hat mehrere AWS-Konten in einer AWS Organizations-Organisation. Das Unternehmen speichert sensible Patientendaten in Amazon S3 und muss verhindern, dass Benutzer S3-Buckets in allen Konten löschen können. Welches ist der skalierbarste Weg, diese Kontrolle durchzusetzen?

Service Control Policies (SCPs) sind die skalierbarste Methode, da sie präventive Kontrollen auf Organisationsebene durchsetzen. SCPs können verhindern, dass Benutzer in allen Mitgliedskonten bestimmte Aktionen ausführen, wie z.B. das Löschen von S3-Buckets, selbst wenn ihnen IAM-Berechtigungen dies erlauben würden. IAM-Berechtigungsgrenzen (permissions boundaries) gelten nur für IAM-Prinzipale innerhalb eines einzelnen Kontos und sind nicht organisationsweit. S3-Bucket-Richtlinien (bucket policies) sind spezifisch für einzelne S3-Buckets und müssten manuell für jeden Bucket konfiguriert werden, was bei vielen Konten und Buckets nicht skalierbar ist. Tag-Richtlinien (tag policies) werden verwendet, um die Konsistenz der Tag-Nutzung zu erzwingen, nicht um Aktionen zu verhindern.