La empresa está organizada en equipos, cada uno de los cuales posee una cuenta de AWS dentro de una organización de AWS Organizations. Los equipos deben conservar todos los privilegios de administrador en sus propias cuentas, pero solo pueden usar los servicios de AWS que han sido aprobados a través de un proceso de solicitud y aprobación. ¿Cómo debe un ingeniero de DevOps aplicar esta política en todas las cuentas?

La respuesta correcta es crear una Service Control Policy (SCP) que permita explícitamente solo los servicios aprobados y adjuntarla a la OU raíz, eliminando la SCP FullAWSAccess predeterminada. Las SCPs son políticas a nivel de organización que definen los permisos máximos para todas las cuentas en una OU o en la organización. Al usar una política de permiso explícito, se garantiza que solo los servicios listados puedan ser utilizados, denegando implícitamente todos los demás. Adjuntarla a la OU raíz asegura que se aplique a todas las cuentas. Las otras opciones son incorrectas porque: Usar CloudFormation StackSets con políticas de IAM es menos efectivo, ya que las SCPs ofrecen un control centralizado y no pueden ser eludidas por los administradores de cuenta. AWS Control Tower y IAM Identity Center gestionan el acceso de usuarios, pero no imponen restricciones a nivel de cuenta sobre los servicios que pueden usarse. Adjuntar una SCP de denegación a una nueva OU de nivel superior no es tan restrictivo como una SCP de permiso explícito, ya que los servicios no denegados explícitamente seguirían estando disponibles.