Un administrateur de la sécurité doit restreindre l'utilisation des informations d'identification de l'utilisateur root sur les comptes membres d'une organisation AWS Organizations. Toutes les fonctionnalités sont activées. Le compte de gestion est utilisé uniquement pour la facturation et l'administration, et non pour les opérations. Comment l'administrateur peut-il restreindre l'utilisation de l'utilisateur root des comptes membres dans toute l'organisation ?

La bonne réponse est de créer une unité d'organisation (OU) et d'y attacher une politique de contrôle de service (SCP) qui restreint l'utilisation de l'utilisateur root, puis d'ajouter tous les comptes membres à cette OU. Les SCP sont des politiques de gestion des autorisations qui peuvent être appliquées à des OU ou à des comptes individuels au sein d'une organisation AWS. Elles permettent de définir des gardes-fous pour les autorisations maximales disponibles pour les entités IAM (y compris l'utilisateur root) dans les comptes affectés. Désactiver l'utilisateur root n'est pas possible, et l'activation de la MFA ne restreint pas l'utilisation, elle renforce la sécurité de l'accès. Les politiques IAM ne peuvent pas restreindre l'utilisateur root, car l'utilisateur root a des autorisations illimitées. CloudTrail et CloudWatch Logs permettent de surveiller l'utilisation de l'utilisateur root, mais ne la restreignent pas.