Eine Organisation verwendet AWS Organizations mit einer Root-OU und einer untergeordneten OU. Das SCP der Root-OU erlaubt alle Aktionen für alle Ressourcen. Das SCP der untergeordneten OU erlaubt alle DynamoDB- und Lambda-Aktionen und verweigert alle anderen Aktionen. In der untergeordneten OU befindet sich ein Konto namens vendor-data. Ein IAM-Benutzer in diesem Konto verfügt über die IAM-Richtlinie AdministratorAccess, erhält jedoch AccessDenied, wenn er versucht, eine EC2-Instance zu starten. Welche Änderung sollte vorgenommen werden, damit der IAM-Benutzer EC2-Instances im Konto vendor-data starten kann?

Die korrekte Antwort ist, das SCP der untergeordneten OU zu ändern, um auch alle EC2-Aktionen zuzulassen. Service Control Policies (SCPs) in AWS Organizations legen die maximalen Berechtigungen fest, die für Konten innerhalb einer Organisationseinheit (OU) oder des gesamten Kontos verfügbar sind. Wenn ein SCP eine Aktion explizit verweigert, kann keine IAM-Richtlinie diese Verweigerung überschreiben. Da das SCP der untergeordneten OU alle Aktionen außer DynamoDB und Lambda explizit verweigert, wird der Start einer EC2-Instanz blockiert, selbst wenn der IAM-Benutzer die AdministratorAccess-Richtlinie besitzt. Das Anfügen einer IAM-Richtlinie an den Benutzer oder das Erstellen eines neuen SCPs auf Kontoebene hilft nicht, da das SCP der übergeordneten OU immer noch die Aktion verweigert. Das Anfügen eines SCPs an die Root-OU würde die Berechtigungen für die gesamte Organisation ändern, was möglicherweise nicht beabsichtigt ist und die spezifische Verweigerung in der untergeordneten OU nicht aufhebt.