Un equipo de seguridad desea limitar el acceso a servicios o acciones específicos en todas las cuentas de AWS en una organización grande de AWS Organizations. La solución debe ser escalable y proporcionar un único lugar para mantener los permisos. ¿Qué debe hacer un arquitecto de soluciones?

La creación de una Service Control Policy (SCP) en la unidad organizativa raíz es la solución más escalable y centralizada para controlar los permisos en todas las cuentas de una AWS Organization. Las SCPs permiten especificar los permisos máximos que todas las cuentas miembro pueden tener, lo que las hace ideales para denegar el acceso a servicios o acciones específicas de forma consistente. Las ACLs (Access Control Lists) se utilizan principalmente para controlar el tráfico de red hacia y desde subredes, no para controlar el acceso a servicios de AWS a nivel de cuenta. Los Security Groups controlan el tráfico a nivel de instancia o interfaz de red, no a nivel de servicio en toda una organización. Crear roles de cross-account en cada cuenta sería una solución manual y poco escalable, ya que requeriría configurar y mantener roles individualmente en cada cuenta, lo que no proporciona un único lugar para la gestión centralizada de permisos.