Une application d'audit de sécurité dans un compte AWS assume un rôle IAM pour accéder à d'autres comptes de la même AWS Organization. Un audit de sécurité a révélé que les utilisateurs des comptes membres audités peuvent modifier ou supprimer le rôle IAM de l'application d'audit. L'entreprise doit empêcher quiconque, à l'exception d'un rôle IAM d'administrateur de confiance, de modifier ce rôle d'audit. Quelle approche répondra à cette exigence ?

La création d'une SCP (Service Control Policy) d'organisation attachée à la racine de l'organisation est la méthode la plus efficace pour appliquer des restrictions uniformes à tous les comptes membres. En utilisant une instruction Deny explicite pour les modifications du rôle IAM de l'application d'audit et une condition NotPrincipal pour exclure le rôle IAM d'administrateur de confiance, vous assurez que seul ce rôle peut effectuer des modifications, tandis que tous les autres sont explicitement bloqués, même s'ils ont des autorisations Allow dans leurs politiques IAM. Les SCPs sont évaluées avant les politiques IAM locales et peuvent outrepasser les autorisations Allow des comptes membres. Les autres options sont incorrectes car : Une SCP attachée au service IAM dans chaque compte n'est pas une fonctionnalité existante. Les SCPs sont attachées aux unités d'organisation (OU) ou à la racine. Les limites d'autorisations IAM définissent les autorisations maximales qu'une identité peut avoir, mais elles ne peuvent pas refuser explicitement des actions pour d'autres identités ou empêcher la modification de l'identité elle-même par d'autres. Elles ne sont pas conçues pour la gouvernance inter-comptes de cette manière.