Una empresa dividirá los recursos en cientos de cuentas de AWS en varias Regiones y necesita una solución que deniegue el acceso a cualquier operación fuera de las Regiones específicamente permitidas. ¿Qué enfoque satisface este requisito?

La opción correcta es implementar una landing zone de AWS Control Tower, crear Unidades Organizativas (OUs) y adjuntar Service Control Policies (SCPs) que denieguen la ejecución de servicios fuera de las Regiones aprobadas. AWS Control Tower establece una base segura y multi-cuenta, y los SCPs son políticas de permisos que se pueden aplicar a OUs o cuentas para especificar los permisos máximos para todos los usuarios y roles. Al adjuntar un SCP a una OU que deniegue explícitamente las operaciones fuera de las regiones permitidas, se garantiza que ninguna cuenta dentro de esa OU pueda realizar acciones en regiones no autorizadas, incluso si sus políticas de IAM individuales lo permitirían. Las otras opciones son menos efectivas o escalables: Crear roles de IAM con políticas de condición por cuenta es laborioso y propenso a errores en cientos de cuentas. Crear usuarios de IAM y adjuntar políticas individuales por usuario es aún menos escalable y no impide que otros usuarios o roles realicen acciones. AWS Security Hub es una herramienta de seguridad y cumplimiento que monitorea la configuración, pero no impone restricciones de ejecución de servicios en tiempo real como lo hacen los SCPs.