L'entreprise est organisée en équipes, chacune possédant un compte AWS au sein d'une organisation AWS Organizations. Les équipes doivent conserver tous les privilèges d'administrateur dans leurs propres comptes, mais elles ne peuvent utiliser que les services AWS qui ont été approuvés par un processus de demande et d'approbation. Comment un ingénieur DevOps doit-il appliquer cette politique à travers les comptes ?

La bonne réponse est de créer une politique de contrôle de service (SCP) qui autorise explicitement uniquement les services AWS approuvés, de l'attacher à l'OU racine et de supprimer la SCP FullAWSAccess par défaut. Les SCP sont le moyen le plus efficace d'appliquer des politiques de permission maximales au niveau de l'organisation ou de l'OU, affectant tous les comptes membres. En utilisant une politique d'autorisation explicite, seuls les services approuvés seront accessibles, respectant ainsi la politique de l'entreprise. Les autres options sont moins efficaces ou ne répondent pas entièrement aux exigences : L'utilisation de CloudFormation StackSets pour déployer des politiques IAM est une approche décentralisée et plus complexe à gérer à grande échelle, car elle nécessite de gérer des politiques individuelles dans chaque compte plutôt qu'une politique globale. AWS Control Tower et IAM Identity Center sont excellents pour la gestion des comptes et des identités, mais ils ne fournissent pas de mécanisme direct pour restreindre les services AWS au niveau de l'organisation comme le font les SCP. Placer tous les comptes dans une nouvelle OU de niveau supérieur et attacher une SCP de refus est une option, mais une SCP d'autorisation explicite est plus robuste pour garantir que seuls les services approuvés sont utilisés, plutôt que de tenter de refuser tous les services non approuvés.