Una empresa utiliza AWS Organizations para gestionar varias cuentas de AWS para diferentes departamentos. La cuenta de administración posee un bucket de Amazon S3 que contiene informes de proyectos. La empresa desea restringir el acceso a este bucket de S3 únicamente a los usuarios de las cuentas dentro de la AWS Organization. ¿Qué solución cumple este requisito con la menor sobrecarga operativa?

La opción correcta es agregar la clave de condición global aws:PrincipalOrgID a la política del bucket de S3. Esta condición permite restringir el acceso a los recursos de S3 solo a las entidades principales (usuarios o roles) que pertenecen a la AWS Organization especificada por su ID. Es la solución más sencilla y con menor sobrecarga operativa porque no requiere gestionar OUs, etiquetas de usuario o monitorear eventos de la organización. Las otras opciones son incorrectas porque: Crear OUs y usar aws:PrincipalOrgPaths es más complejo y no es necesario si el objetivo es permitir el acceso a cualquier cuenta dentro de la organización, no solo a rutas específicas. Monitorear eventos de CloudTrail y actualizar la política de S3 manualmente es una solución reactiva, compleja y con alta sobrecarga operativa. Etiquetar usuarios y usar aws:PrincipalTag requiere una gestión continua de etiquetas para cada usuario, lo que aumenta la sobrecarga operativa y es menos escalable que usar el ID de la organización.