Una organización utiliza AWS Organizations para administrar varias cuentas de AWS. Un arquitecto de soluciones debe aplicar una política en la que solo los roles de administrador puedan realizar acciones de IAM en toda la organización. El arquitecto no tiene acceso a todas las cuentas de AWS. ¿Qué enfoque aplica esto con la menor sobrecarga operativa?

La opción correcta es crear una Service Control Policy (SCP) que deniegue explícitamente las acciones de IAM para todas las entidades, excepto los roles de administrador, y adjuntarla a la OU raíz. Las SCPs son ideales para aplicar controles de seguridad a nivel de organización, ya que se heredan en todas las cuentas y OUs anidadas, garantizando una aplicación uniforme sin necesidad de acceder a cada cuenta individualmente. Una denegación explícita en una SCP siempre anula cualquier permiso de "permitir" en las políticas de IAM de las cuentas miembro, lo que la hace muy efectiva. La opción de "permitir acciones de IAM solo para roles de administrador" es incorrecta porque las SCPs no otorgan permisos; solo establecen los límites máximos de permisos. Los permisos deben ser otorgados por las políticas de IAM dentro de cada cuenta. Configurar CloudTrail y Lambda es una solución reactiva y compleja. No previene la acción, sino que intenta remediarla después de que ocurre, lo que introduce latencia y una sobrecarga operativa significativa. Definir un límite de permisos de IAM es una buena práctica, pero requeriría adjuntar manualmente este límite a cada rol de administrador en cada cuenta, lo que es inviable y no escala bien en una organización grande, además de no ser un control a nivel de organización.