Ein Unternehmen mit vielen Mitgliedskonten in AWS Organizations ist besorgt über den potenziellen Missbrauch von Root-Benutzer-Anmeldeinformationen. Das Unternehmen möchte sicherstellen, dass das Konto auch dann geschützt bleibt, wenn die Root-Anmeldeinformationen kompromittiert werden. Welche Lösung erfüllt diese Anforderung?

Service Control Policies (SCPs) sind eine effektive Methode, um Berechtigungen in AWS Organizations zu verwalten und einzuschränken. Durch das Anwenden einer SCP, die den Dienstzugriff für den Root-Benutzer blockiert, kann selbst bei einer Kompromittierung der Root-Anmeldeinformationen der potenzielle Schaden minimiert werden, da der Root-Benutzer keine Aktionen ausführen kann, die durch die SCP verboten sind. Dies bietet eine zusätzliche Sicherheitsebene. Das Entfernen des Passworts des Root-Benutzers ist keine praktikable Lösung, da das Root-Konto für bestimmte administrative Aufgaben (z. B. das Ändern des Support-Plans) weiterhin ein Passwort benötigt. Das Löschen aller Root-Zugriffsschlüssel ist eine gute Sicherheitspraxis, schützt aber nicht vor der Kompromittierung des Root-Passworts selbst. Eine Amazon EventBridge-Regel kann Root-API-Aktivitäten erkennen und alarmieren, aber sie verhindert nicht die Ausführung der Aktivitäten selbst, wenn die Anmeldeinformationen kompromittiert sind.