Eine Organisation hat mehrere AWS-Konten unter AWS Organizations. Administratoren haben die Root-Benutzeranmeldeinformationen in Mitgliedskonten verwendet, und das Unternehmen möchte alle Root-Benutzeraktionen auf EC2-Ressourcen in allen Mitgliedskonten blockieren. Was ist der geeignete Weg für einen SysOps-Administrator, diese Anforderung zentral durchzusetzen?

Die Erstellung einer Service Control Policy (SCP) über das Verwaltungskonto der Organisation ist die effektivste Methode, um diese Anforderung zentral durchzusetzen. SCPs ermöglichen es Ihnen, Berechtigungen in allen Mitgliedskonten einer AWS Organization zu verwalten und einzuschränken, einschließlich des Root-Benutzers. Eine SCP, die EC2-Aktionen für den Root-Benutzer explizit verweigert, wird in allen Mitgliedskonten wirksam. Das Anhängen identitätsbasierter IAM-Richtlinien an jedes Mitgliedskonto wäre manuell und fehleranfällig. AWS Config ist ein Compliance-Tool, das keine Aktionen blockiert, sondern Änderungen überwacht. Amazon Inspector ist ein Sicherheitsbewertungsdienst, der Schwachstellen erkennt, aber keine Aktionen blockiert.