Eine AWS Organization wird von einem Sicherheitsteam und einem DevOps-Team verwaltet; beide verwenden IAM Identity Center (SSO). Die DevOps-Gruppe hat ein Berechtigungssatz namens DevOps mit AdministratorAccess, der an alle Konten angehängt und angewendet wird. Das Sicherheitsteam hat ein SCP auf der Organisationsebene angehängt, um DevOps den Zugriff auf IAM Identity Center im Verwaltungskonto zu verwehren, aber DevOps kann immer noch darauf zugreifen. Welche Änderung wird DevOps den Zugriff auf IAM Identity Center im Verwaltungskonto blockieren?

Die korrekte Lösung ist, den DevOps-Berechtigungssatz im IAM Identity Center zu aktualisieren. SCPs (Service Control Policies) werden auf Organisationsebene angewendet und können den Zugriff auf bestimmte Aktionen für alle Konten in der Organisation einschränken. Sie können jedoch nicht den Zugriff auf Aktionen im Verwaltungskonto selbst einschränken, wenn die SCP auf der Root-Ebene angehängt ist und das Verwaltungskonto Teil dieser Root ist. Das liegt daran, dass SCPs keine Berechtigungen gewähren, sondern nur die maximalen Berechtigungen festlegen. Um den Zugriff auf IAM Identity Center im Verwaltungskonto zu blockieren, muss der explizite Deny direkt im Berechtigungssatz der DevOps-Gruppe erfolgen. Die Bedingung StringEquals mit aws:SourceAccount stellt sicher, dass diese Ablehnung nur für das Verwaltungskonto gilt und nicht für andere Konten, in denen DevOps möglicherweise weiterhin vollen Zugriff auf SSO benötigt. Die anderen Optionen sind ineffektiv, da SCPs im Verwaltungskonto nicht wie gewünscht funktionieren oder unnötige Komplexität schaffen.