Ein Sicherheitsteam möchte den Zugriff auf bestimmte Services oder Aktionen über alle AWS-Konten in einer großen AWS Organizations-Organisation hinweg einschränken. Die Lösung muss skalierbar sein und einen zentralen Ort zur Verwaltung von Berechtigungen bieten. Was sollte ein Solutions Architect tun?

Die korrekte Antwort ist, eine Service Control Policy (SCP) in der Root-Organisationseinheit zu erstellen. SCPs sind ein Feature von AWS Organizations, das es ermöglicht, Berechtigungen für alle Konten innerhalb einer Organisationseinheit (OU) oder der gesamten Organisation zentral zu verwalten und zu begrenzen. Durch das Anwenden einer SCP in der Root-OU können Sie den Zugriff auf bestimmte Services oder Aktionen für alle Mitgliedskonten effektiv verweigern, was skalierbar ist und einen zentralen Kontrollpunkt bietet. Eine ACL (Access Control List) ist für den Netzwerkzugriff auf S3-Buckets oder VPC-Subnetze gedacht, nicht für die organisationsweite Steuerung von Servicezugriffen. Sicherheitsgruppen steuern den Netzwerkverkehr zu EC2-Instanzen und sind ebenfalls nicht für diesen Anwendungsfall geeignet. Cross-Account-Rollen müssten in jedem Konto manuell konfiguriert werden, was bei einer großen Organisation nicht skalierbar ist und keinen zentralen Kontrollpunkt bietet.