Una empresa utiliza AWS Organizations con tres unidades organizativas (OU) de carga de trabajo: Production, Development y Testing. Las plantillas de AWS CloudFormation definen e implementan infraestructura en cuentas dentro de estas OU. Cada OU tiene una política de control de servicios (SCP) distinta. Una actualización de pila de CloudFormation se realiza correctamente en las OU de Development y Testing, pero falla en una cuenta de la OU de Production con un error de "insufficient IAM permissions". ¿Qué debe hacer primero el ingeniero de seguridad para solucionar este problema?

La revisión de AWS CloudTrail en la cuenta de Production es el primer paso lógico y más eficiente para diagnosticar el problema. CloudTrail registra todas las llamadas a la API realizadas en la cuenta, incluyendo las denegadas. Esto permitirá al ingeniero de seguridad identificar exactamente qué acción de CloudFormation fue bloqueada y por qué, proporcionando detalles sobre el permiso faltante o la política que lo denegó. Desvincular todas las SCP es una acción drástica que podría comprometer la seguridad y no es una buena práctica de resolución de problemas. Verificar el rol de ejecución de CloudFormation es importante, pero CloudTrail revelará si el problema es la falta de permisos en el rol o una denegación por SCP. Hacer que las SCP de Production sean idénticas a las de Testing podría resolver el problema si la SCP es la causa, pero no es el primer paso para entender la causa raíz y podría debilitar la postura de seguridad de Production.