Ein Unternehmen nutzt AWS Organizations mit separaten OUs für Entwicklung und Produktion. Nur AWS-Konten in der Produktions-OU sollen VPC Flow Logs in einen bestimmten Amazon S3-Bucket schreiben dürfen. Wenn ein Condition-Element zur S3-Bucket-Policy für s3:PutObject hinzugefügt wird, wie sollte der Sicherheitsingenieur die Bedingung konfigurieren?

Die korrekte Antwort ist, den Condition-Schlüssel aws:SourceOrgPaths auf den AWS Organizations Entity-Pfad der Produktions-OU zu setzen. Dieser Schlüssel überprüft den vollständigen Pfad der Organisationseinheit (OU), aus der die Anfrage stammt. Da VPC Flow Logs von AWS-Konten in der Produktions-OU in den S3-Bucket geschrieben werden sollen, stellt aws:SourceOrgPaths sicher, dass nur Anfragen von Konten innerhalb dieses spezifischen Pfades (der Produktions-OU) zugelassen werden. aws:SourceOrgID würde die gesamte Organisation zulassen, nicht nur die Produktions-OU. aws:ResourceOrgID und aws:ResourceOrgPaths beziehen sich auf die Organisation des Ressourcenbesitzers (in diesem Fall der S3-Bucket selbst), nicht auf die Organisation des Anfragenden, der die Flow Logs schreibt.