Una aplicación de auditoría de seguridad en una cuenta de AWS asume un rol de IAM para acceder a otras cuentas en la misma AWS Organization. Una auditoría de seguridad encontró que los usuarios en las cuentas miembro auditadas pueden modificar o eliminar el rol de IAM de la aplicación de auditoría. La compañía necesita evitar que cualquier persona, excepto un rol de IAM de administrador de confianza, cambie ese rol de auditoría. ¿Qué enfoque cumplirá este requisito?

La opción correcta es crear un SCP (Service Control Policy) de la organización. Un SCP aplicado a la raíz de la organización puede denegar explícitamente acciones de IAM (como iam:DeleteRole o iam:UpdateRole) en el rol de auditoría para todas las cuentas miembro, excepto para el rol de administrador de confianza especificado en una condición. Esto garantiza que ninguna entidad en las cuentas miembro, excepto el administrador autorizado, pueda modificar o eliminar el rol de auditoría, cumpliendo el requisito de seguridad a nivel de la organización. Las otras opciones son incorrectas porque: Un SCP adjunto al servicio de IAM en cada cuenta no es una característica de AWS. Los SCP se adjuntan a unidades organizativas (OU) o a la raíz. Los límites de permisos de IAM restringen los permisos máximos que una identidad puede tener, pero no impiden que otros principales modifiquen la identidad en sí.