Un compte de moins d'un an se trouve dans une unité d'organisation (OU) AWS Organizations. L'entreprise souhaite une structure Organizations et une SCP qui n'autorisent que les services actuellement utilisés dans ce compte. IAM Access Analyzer sera utilisé pour déterminer les services actifs. Quelles étapes permettront de répondre à cette exigence ?

La bonne approche consiste à créer une SCP (Service Control Policy) qui autorise explicitement uniquement les services identifiés comme étant en cours d'utilisation par IAM Access Analyzer. Cette SCP doit être attachée à une nouvelle unité d'organisation (OU) dédiée, dans laquelle le compte concerné sera déplacé. Il est crucial de détacher la SCP par défaut "FullAWSAccess" de cette nouvelle OU pour que la nouvelle SCP restrictive prenne effet. Les autres options sont incorrectes car : Une SCP de refus serait plus complexe à gérer et moins sécurisée qu'une SCP d'autorisation explicite (principe du moindre privilège). Attacher la SCP à la racine de l'organisation affecterait tous les comptes, ce qui n'est pas l'objectif ici. Attacher la SCP au compte de gestion n'est pas la bonne pratique ; les SCP sont attachées aux OU ou aux comptes membres.