Eine Organisation verwendet AWS Organizations, um mehrere AWS-Konten zu verwalten. Ein Lösungsarchitekt muss eine Richtlinie durchsetzen, bei der nur Administratorrollen IAM-Aktionen organisationsweit ausführen können. Der Architekt hat keinen Zugriff auf jedes AWS-Konto. Welcher Ansatz setzt dies mit dem geringsten Betriebsaufwand durch?

Die korrekte Antwort ist, eine Service Control Policy (SCP) zu erstellen, die IAM-Aktionen für alle Prinzipale außer Administratorrollen verweigert und diese an die Root-OU anzuhängen. SCPs sind eine Funktion von AWS Organizations, die es Ihnen ermöglichen, Berechtigungen in allen Konten Ihrer Organisation zentral zu verwalten. Durch das Anwenden einer SCP auf die Root-OU wird die Richtlinie automatisch auf alle aktuellen und zukünftigen Konten in der Organisation angewendet, was den geringsten Betriebsaufwand darstellt. Die Option, eine SCP zu erstellen, die nur Administratorrollen IAM-Aktionen erlaubt, ist zu restriktiv, da sie alle anderen notwendigen IAM-Aktionen für Nicht-Administratorrollen blockieren würde. AWS CloudTrail mit Lambda-Funktionen ist zu komplex und reaktiv; es würde Aktionen erst nach deren Ausführung erkennen und erfordert eine aufwändige Konfiguration und Wartung in jedem Konto. IAM-Berechtigungsgrenzen sind nützlich, um die maximalen Berechtigungen für IAM-Entitäten festzulegen, aber sie müssen manuell an jede Rolle angehängt werden und bieten keine organisationsweite Durchsetzung ohne Zugriff auf jedes Konto.