Una empresa utiliza AWS Organizations y despliega todos los recursos (incluidas las políticas de IAM y S3) a través de CloudFormation desde CodeCommit. Recientemente, los desarrolladores de algunas cuentas no pueden acceder a un bucket de S3. El bucket tiene una política adjunta (no mostrada aquí). ¿Qué debe hacer el ingeniero de DevOps para resolver el problema de acceso?

La opción correcta aborda las dos causas más comunes de denegación de acceso en un entorno de AWS Organizations: las Service Control Policies (SCPs) y los límites de permisos de IAM. Las SCPs pueden denegar explícitamente acciones en toda una OU o cuenta, mientras que los límites de permisos de IAM restringen las acciones máximas que una identidad de IAM puede realizar. Dado que todos los recursos se gestionan a través de CloudFormation desde CodeCommit, cualquier cambio en SCPs o límites de permisos debe realizarse en el repositorio y luego desplegarse. Modificar la política del bucket y desactivar S3 Block Public Access no es la solución, ya que el problema es de acceso interno y no de acceso público. La condición aws:SourceAccount es útil, pero no resuelve las posibles restricciones de SCP o límites de permisos. Revertir cambios con AWS Config no es una solución directa al problema de acceso y no aborda la causa raíz de las posibles denegaciones por SCP o límites de permisos. Crear una SCP para impedir la modificación de recursos de IAM no resolverá el problema de acceso al bucket S3 y podría introducir nuevas restricciones innecesarias.