Una empresa utiliza AWS Organizations y planea añadir aproximadamente 1.000 cuentas más. Actualmente, solo el equipo de seguridad central puede crear roles de IAM. Para reducir los cuellos de botella, los equipos de aplicaciones necesitan aprovisionar sus propios roles de IAM, pero los roles deben tener un alcance limitado y no deben permitir la escalada de privilegios. ¿Cuál es la solución con la menor sobrecarga operativa?

La opción correcta es crear una SCP y un IAM permissions boundary. La SCP, adjunta a la OU raíz, puede delegar la capacidad de crear roles de IAM solo a aquellos roles que tengan un permissions boundary específico. Este permissions boundary, a su vez, define el alcance máximo de los permisos que cualquier rol creado puede tener, impidiendo la escalada de privilegios y asegurando que los roles sean de alcance limitado. Esta solución minimiza la sobrecarga operativa porque automatiza la aplicación de las restricciones de permisos en la creación de roles, sin necesidad de intervención manual constante. Las otras opciones son menos eficientes: Crear grupos de IAM para cada equipo con políticas adjuntas y usuarios de IAM es viable, pero no aborda la restricción en la creación de roles y puede generar una gestión compleja a gran escala. Delegar la creación de roles a líderes de equipo con revisiones trimestrales aumenta la sobrecarga operativa y depende de la capacitación y el cumplimiento humano. Colocar cada cuenta en su propia OU con SCPs para permitir solo servicios requeridos es una buena práctica de seguridad, pero no aborda directamente la restricción de permisos en la creación de roles de IAM dentro de esas cuentas.