Se debe impedir que los administradores de varias cuentas miembro en una AWS Organization, incluidos aquellos que tienen credenciales de root para sus cuentas, utilicen Amazon DynamoDB, mientras conservan el acceso a otros servicios de AWS. ¿Qué método aplicará esta restricción en toda la organización?

La respuesta correcta es crear una Service Control Policy (SCP) desde la cuenta de administración que deniegue todas las acciones de DynamoDB y adjuntarla a la raíz de la organización. Las SCPs son la única forma de aplicar permisos a nivel de la organización, incluso para los usuarios root de las cuentas miembro. Al adjuntar la SCP a la raíz, se aplica automáticamente a todas las cuentas de la organización. Las políticas de IAM en cada cuenta miembro no son suficientes porque el usuario root de cada cuenta puede modificar o eliminar esas políticas, anulando la restricción. Eliminar la SCP predeterminada no es necesario y podría tener consecuencias no deseadas; solo se necesita una SCP adicional para la denegación específica.