Ein Unternehmen verwendet mehrere AWS-Konten unter AWS Organizations. Es gibt eine OU für die Produktion und eine weitere für die Entwicklung. Unternehmensregeln erlauben Entwicklern, im Produktionskonto nur vorab genehmigte AWS-Services zu verwenden. Welches ist der betrieblich effizienteste Weg, diese Einschränkung für das Produktionskonto durchzusetzen?

Eine Service Control Policy (SCP) ist die betrieblich effizienteste Methode, um diese Einschränkung durchzusetzen, da sie auf Organisationseinheiten (OUs) oder einzelne Konten in AWS Organizations angewendet werden kann. Eine SCP definiert die maximalen Berechtigungen, die für alle Konten innerhalb der OU oder des Kontos gelten. Durch das Anhängen einer SCP an die Produktions-OU können Sie den Zugriff auf nicht genehmigte AWS-Services für alle Benutzer und Rollen in allen Produktionskonten zentral einschränken, ohne jede einzelne IAM-Richtlinie manuell anpassen zu müssen. Das Erstellen einer kundenverwalteten IAM-Richtlinie und das Anhängen an alle Benutzer im Produktionskonto wäre ineffizient, da dies bei neuen Benutzern oder Konten manuell wiederholt werden müsste. Eine IAM-Jobfunktionsrichtlinie ist kein AWS-Konzept, und IAM-Richtlinien werden nicht direkt auf OUs angewendet. Das Erzwingen von Richtlinien über Amazon API Gateway ist für die Steuerung des Zugriffs auf APIs gedacht, nicht für die allgemeine Einschränkung von AWS-Serviceaktionen innerhalb eines Kontos.