Une entreprise utilise plusieurs comptes AWS sous AWS Organizations. Il existe une OU pour la production et une autre pour le développement. Les règles de l'entreprise autorisent les développeurs à utiliser uniquement les services AWS pré-approuvés dans le compte de production. Quelle est la méthode la plus efficace sur le plan opérationnel pour appliquer cette restriction au compte de production ?

La création d'une politique de contrôle de service (SCP) et son attachement à l'OU de production est la méthode la plus efficace. Les SCPs sont appliquées au niveau de l'OU ou du compte dans AWS Organizations et définissent les autorisations maximales pour tous les utilisateurs et rôles au sein de cette OU ou de ce compte, même les utilisateurs root. Cela garantit que les restrictions sont appliquées de manière centralisée et cohérente. Les politiques IAM gérées par le client ne sont pas idéales car elles doivent être attachées individuellement à chaque utilisateur ou rôle, ce qui est moins efficace et plus sujet aux erreurs. Les politiques IAM de fonction de travail ne sont pas une fonctionnalité standard d'AWS Organizations pour la gestion des autorisations au niveau de l'OU. L'application d'une politique IAM via Amazon API Gateway est incorrecte car API Gateway est un service pour la création et la gestion d'API, et non un mécanisme pour appliquer des politiques de sécurité au niveau du compte ou de l'OU.