Une entreprise va répartir ses ressources sur des centaines de comptes AWS dans plusieurs Régions et a besoin d'une solution qui refuse l'accès à toute opération en dehors des Régions spécifiquement autorisées. Quelle approche répond à cette exigence ?

La bonne approche est de déployer une zone d'atterrissage AWS Control Tower, de créer des unités d'organisation (OU) et d'attacher des politiques de contrôle de service (SCP) qui interdisent l'exécution de services en dehors des Régions approuvées. Les SCP sont des politiques de gestion des autorisations qui offrent un contrôle centralisé sur les autorisations maximales disponibles pour tous les comptes d'une OU ou d'une organisation. Elles sont idéales pour restreindre l'accès aux Régions non autorisées à grande échelle. Les rôles et politiques IAM individuels ne sont pas évolutifs pour des centaines de comptes. Les politiques IAM attachées aux utilisateurs ne sont pas non plus une solution centralisée et évolutive. AWS Security Hub est un service de gestion de la posture de sécurité, pas un mécanisme de contrôle des autorisations par Région.