Une entreprise met en place un environnement multi-comptes avec AWS Organizations et AWS IAM Identity Center (AWS Single Sign-On). L'entreprise doit restreindre les équipes de développement à des régions AWS spécifiques et restreindre chaque compte aux seuls services AWS approuvés, avec le moins de frais opérationnels possible. Quelle solution répond à ces exigences ?

Les politiques de contrôle de service (SCP) sont la solution la plus efficace pour appliquer des restrictions à l'échelle de l'organisation, y compris les régions et les services autorisés, avec un minimum de frais opérationnels. Elles sont appliquées au niveau de l'organisation ou de l'unité d'organisation (OU) dans AWS Organizations et affectent tous les comptes membres. L'utilisation d'IAM Identity Center avec des politiques IAM liées à un service ou des politiques basées sur l'identité nécessiterait une gestion individuelle par compte, ce qui est moins efficace. Désactiver AWS STS dans certaines régions n'est pas une pratique recommandée et pourrait entraîner des problèmes de fonctionnalité inattendus.