Un equipo de investigación necesita control de gestión total de los recursos en su cuenta de AWS, pero se le debe impedir la creación de usuarios de IAM. El conjunto de permisos de IAM Identity Center del equipo otorga AdministratorAccess. ¿Cómo puede asegurarse de que los miembros del equipo de investigación no puedan crear usuarios de IAM?

La opción correcta es crear una política de control de servicios (SCP) que deniegue iam:CreateUser y adjuntarla a la cuenta de AWS del equipo. Las SCP son la forma más efectiva de establecer límites de permisos a nivel de organización o cuenta, anulando cualquier permiso otorgado por políticas de IAM, incluso AdministratorAccess. Esto asegura que ningún usuario o rol dentro de esa cuenta pueda crear usuarios de IAM. Las opciones incorrectas son: Adjuntar una política de IAM al conjunto de permisos de Administrador de Investigación que deniegue explícitamente iam:CreateUser no funcionaría de manera consistente, ya que AdministratorAccess ya otorga todos los permisos, y una denegación explícita en una política adjunta al mismo conjunto de permisos podría ser anulada o no aplicada como se espera en todos los escenarios. Crear una política de IAM que permita todas las acciones excepto iam:CreateUser y usarla como un límite de permisos para el conjunto de permisos de Administrador de Investigación es una buena práctica para limitar permisos a nivel de entidad de IAM, pero una SCP es más robusta para una denegación a nivel de cuenta. Implementar una AWS Lambda para eliminar usuarios recién creados es una solución reactiva, no preventiva, y no impide la creación inicial del usuario, lo que podría generar brechas de seguridad temporales y complejidad operativa.