Une entreprise utilise AWS Organizations pour gérer plusieurs comptes AWS pour différents départements. Le compte de gestion possède un compartiment Amazon S3 qui contient des rapports de projet. L'entreprise souhaite restreindre l'accès à ce compartiment S3 aux seuls utilisateurs des comptes au sein de l'AWS Organization. Quelle solution répond à cette exigence avec le moins de frais opérationnels ?

L'ajout de la clé de condition globale aws:PrincipalOrgID à la politique de compartiment S3 est la solution la plus efficace. Cette condition permet de restreindre l'accès aux seules entités (utilisateurs, rôles) appartenant à l'ID d'organisation spécifié, garantissant ainsi que seuls les comptes membres de votre AWS Organization peuvent y accéder. Cela réduit les frais opérationnels car la politique n'a pas besoin d'être mise à jour manuellement à chaque changement de compte. Créer une OU pour chaque département et utiliser aws:PrincipalOrgPaths est plus complexe et ne cible pas directement l'appartenance à l'organisation globale. Utiliser CloudTrail pour surveiller les événements et mettre à jour la politique manuellement est une approche réactive et très coûteuse en opérations. Baliser chaque utilisateur est fastidieux et ne gère pas l'appartenance des comptes à l'organisation.