Una empresa debe evitar que los objetos de Amazon S3 se compartan con entidades principales de IAM que estén fuera de su organización de AWS Organizations. La empresa está creando una política de control de servicios (SCP) para hacer cumplir este requisito y ya ha habilitado S3 Block Public Access en todos los buckets. ¿Qué debe hacer la SCP para cumplir el requisito?

La opción correcta deniega todas las acciones de S3 (S3:) cuando el ID de la organización del recurso (aws:ResourceOrgID) no coincide con el ID de la organización del principal que realiza la solicitud (aws:PrincipalOrgID). Esto asegura que los objetos de S3 solo puedan ser accedidos por entidades dentro de la misma organización de AWS Organizations, impidiendo el acceso externo. Las opciones incorrectas son: Denegar S3:PutAccountPublicAccessBlock con una condición que use StringLike en aws:PrincipalArn e incluya los ARN de las entidades principales de IAM externas: Esto solo evitaría que las entidades externas modifiquen la configuración de Block Public Access, no el acceso a los objetos S3. Permitir S3: con una condición que use StringNotEquals en aws:PrincipalOrgID, con el valor establecido en ${aws:PrincipalOrgID}: Una política de "Permitir" no es adecuada para denegar el acceso externo, y la condición está mal formulada para este propósito. Denegar S3: con una condición que use StringLike en aws:PrincipalArn e incluya los ARN de las entidades principales de IAM externas: Esto requeriría mantener una lista exhaustiva de todos los ARN externos, lo cual es inviable y propenso a errores.