Una empresa está configurando un entorno de múltiples cuentas con AWS Organizations y AWS IAM Identity Center (AWS Single Sign-On). La empresa debe restringir a los equipos de desarrollo a Regiones de AWS específicas y restringir cada cuenta solo a los servicios de AWS aprobados, con la menor sobrecarga operativa. ¿Qué solución cumple con estos requisitos?

Las Políticas de Control de Servicios (SCPs) son la solución más eficaz para aplicar restricciones a nivel de organización, como limitar las Regiones de AWS y los servicios permitidos, con baja sobrecarga operativa. Las SCPs se aplican a todas las cuentas dentro de una Unidad Organizativa (OU) o a toda la organización, lo que garantiza una gobernanza consistente y centralizada. El uso de elementos Condition (por ejemplo, aws:RequestedRegion), Resource y NotAction permite una especificación precisa de lo que está permitido o denegado. Las otras opciones son menos adecuadas: Usar IAM Identity Center para crear roles vinculados a servicios con políticas de IAM: Las políticas de IAM se aplican a nivel de identidad o recurso dentro de una cuenta, no a nivel de organización, lo que requeriría una gestión manual en cada cuenta. Deshabilitar AWS Security Token Service (AWS STS) en las Regiones: Deshabilitar AWS STS en una Región impide todas las operaciones en esa Región, lo cual es demasiado restrictivo y podría afectar servicios internos o de AWS que dependan de STS. Crear políticas personalizadas basadas en identidad de IAM Identity Center para cada cuenta: Esto implica una gestión manual y repetitiva para cada cuenta, aumentando la sobrecarga operativa y el riesgo de inconsistencias.