Una cuenta con menos de un año de antigüedad se encuentra en una OU de AWS Organizations. La empresa desea una estructura de Organizations y una SCP que permitan solo los servicios utilizados actualmente en esa cuenta. Se utilizará IAM Access Analyzer para determinar los servicios activos. ¿Qué pasos lograrán este requisito?

La opción correcta establece el enfoque más seguro y granular. Al crear una SCP que permite explícitamente solo los servicios identificados por IAM Access Analyzer, se implementa un modelo de seguridad de privilegio mínimo. Mover la cuenta a una nueva OU y adjuntar esta SCP a esa OU garantiza que la política se aplique solo a las cuentas deseadas. Desvincular la SCP predeterminada FullAWSAccess es crucial para que la nueva SCP restrictiva tenga efecto, ya que las SCP son de denegación implícita. Las opciones incorrectas son: La opción de denegar los servicios identificados por IAM Access Analyzer es incorrecta porque IAM Access Analyzer identifica los servicios en uso, no los servicios que deben ser denegados. Una política de denegación de servicios en uso no cumpliría el requisito de permitir solo los servicios utilizados. La opción de adjuntar la SCP a la raíz de la organización es incorrecta porque aplicaría la política a todas las cuentas de la organización, lo cual no es el objetivo de restringir una cuenta específica. La opción de adjuntar la SCP a la cuenta de administración es incorrecta porque las SCP se adjuntan a OUs o cuentas, no a la cuenta de administración para controlar otras cuentas. Además, no desvincular la SCP predeterminada FullAWSAccess de la OU anularía cualquier restricción.