Una empresa utiliza varias cuentas de AWS para cargas de trabajo de producción y no producción en todos los equipos de DevOps. Quieren restringir de forma centralizada el acceso a un pequeño conjunto de servicios de AWS que los equipos de DevOps no utilizan, al tiempo que permiten el acceso a los servicios actualmente en uso. Ya invitaron a todas las cuentas a AWS Organizations. También quieren administrar grupos de cuentas juntos. ¿Qué combinación de acciones debe realizar un arquitecto de soluciones? (Elija tres).

Para restringir el acceso a un pequeño conjunto de servicios no utilizados, una estrategia de lista de denegación (denegación explícita) es la más eficaz. Esto permite el acceso a todos los demás servicios por defecto, que es el requisito de "permitir el acceso a los servicios actualmente en uso". IAM Access Advisor es crucial para identificar qué servicios se han utilizado recientemente, lo que ayuda a determinar qué servicios no están en uso y, por lo tanto, pueden ser denegados de forma segura. Crear Unidades Organizativas (OU) permite agrupar cuentas y aplicar políticas de control de servicios (SCP) de forma granular a esos grupos, lo que es fundamental para la gestión centralizada y la aplicación de restricciones a grupos de cuentas. Eliminar el SCP predeterminado FullAWSAccess no es necesario y podría causar interrupciones, ya que el objetivo es denegar solo un pequeño conjunto de servicios. Los informes de AWS Trusted Advisor no están diseñados para mostrar el uso reciente de servicios por parte de entidades principales; su propósito es optimizar costos, rendimiento y seguridad. No existe un SCP predeterminado llamado DenyAWSAccess.