Una empresa de atención médica tiene varias cuentas de AWS en una organización de AWS Organizations. La empresa almacena datos confidenciales de pacientes en Amazon S3 y debe evitar que los usuarios eliminen cualquier bucket de S3 en todas las cuentas. ¿Cuál es la forma más escalable de aplicar este control?

Las políticas de control de servicios (SCPs) son la forma más escalable de aplicar este control porque permiten denegar acciones específicas en todas las cuentas de una organización de AWS Organizations. Al adjuntar una SCP a la raíz de la organización o a una unidad organizativa (OU), se puede prohibir la acción s3:DeleteBucket para todos los usuarios y roles en esas cuentas, incluso para la cuenta raíz. Las IAM permissions boundaries son políticas que establecen los permisos máximos que una identidad de IAM puede tener, pero no pueden denegar permisos a la cuenta raíz ni a los roles de servicio. Las S3 bucket policies se aplican a buckets individuales y no son escalables para proteger todos los buckets en varias cuentas. Las Tag policies se utilizan para estandarizar el etiquetado de recursos, no para controlar acciones de API.