Une entreprise doit empêcher le partage d'objets Amazon S3 avec des principaux IAM qui se trouvent en dehors de son organisation AWS Organizations. L'entreprise crée une politique de contrôle de service (SCP) pour appliquer cette exigence et a déjà activé le blocage de l'accès public S3 sur tous les compartiments. Que doit faire la SCP pour répondre à l'exigence ?

L'option correcte utilise une politique de refus explicite (Deny) pour S3: (toutes les actions S3) et une condition StringNotEquals sur aws:ResourceOrgID. La variable aws:ResourceOrgID représente l'ID de l'organisation AWS à laquelle appartient la ressource S3. En la comparant à ${aws:PrincipalOrgID} (l'ID de l'organisation du principal effectuant la requête), la SCP refuse toute action S3 si la ressource S3 n'appartient pas à la même organisation que le principal. Cela empêche efficacement le partage d'objets S3 avec des principaux IAM externes à l'organisation. Les autres options sont incorrectes : Refuser S3:PutAccountPublicAccessBlock ne cible pas le partage d'objets S3 mais la configuration du blocage d'accès public. Autoriser S3: avec StringNotEquals sur aws:PrincipalOrgID ne restreindrait pas le partage externe ; une politique d'autorisation ne peut pas empêcher le partage si d'autres politiques l'autorisent. Refuser S3: avec StringLike sur aws:PrincipalArn et inclure les ARN des principaux IAM externes nécessiterait de maintenir une liste exhaustive et dynamique de tous les principaux externes, ce qui est impraticable et ne s'adapte pas.