Una empresa utiliza varias cuentas de AWS en AWS Organizations. Hay una OU para producción y otra para desarrollo. Las reglas corporativas permiten a los desarrolladores usar solo servicios de AWS preaprobados en la cuenta de producción. ¿Cuál es la forma más eficiente operativamente de aplicar esta restricción para la cuenta de producción?

La forma más eficiente operativamente es crear una Política de Control de Servicios (SCP) y adjuntarla a la OU de producción. Las SCPs se aplican a nivel de AWS Organizations y permiten establecer permisos máximos para todas las cuentas dentro de una OU, incluyendo la cuenta de producción. Esto asegura que solo los servicios preaprobados puedan ser utilizados, incluso si las políticas de IAM dentro de una cuenta intentan otorgar más permisos. Crear una política de IAM administrada por el cliente y adjuntarla a todos los usuarios de la cuenta de producción sería ineficiente y propenso a errores, ya que requeriría gestionar la política para cada usuario. Crear una política de función de trabajo de IAM y aplicarla a todos los usuarios de la OU de producción no es una opción válida, ya que las políticas de función de trabajo no existen como tal en IAM. Crear una política de IAM y aplicarla a través de Amazon API Gateway no es el mecanismo correcto para restringir acciones a nivel de cuenta en AWS; API Gateway gestiona el acceso a las APIs, no las políticas de permisos generales de AWS.