Une équipe de recherche a besoin d'un contrôle de gestion complet des ressources de son compte AWS, mais doit être empêchée de créer des utilisateurs IAM. L'ensemble d'autorisations IAM Identity Center de l'équipe accorde AdministratorAccess. Comment pouvez-vous garantir que les membres de l'équipe de recherche ne peuvent pas créer d'utilisateurs IAM ?

Une politique de contrôle de service (SCP) est le moyen le plus efficace de restreindre les autorisations au niveau du compte, même pour les utilisateurs disposant d'un accès administrateur. En attachant une SCP qui refuse explicitement iam:CreateUser au compte de l'équipe de recherche, vous garantissez qu'aucune entité au sein de ce compte ne peut créer d'utilisateurs IAM, quelle que soit la politique IAM attachée à son rôle. Attacher une politique IAM à l'ensemble d'autorisations Research Administrator qui refuse explicitement iam:CreateUser ne fonctionnerait pas car l'accès administrateur inclut déjà la permission de créer des utilisateurs, et une politique de refus explicite au niveau de l'utilisateur ou du rôle serait supplantée par l'accès administrateur complet. Créer une politique IAM qui autorise toutes les actions sauf iam:CreateUser et l'utiliser comme limite d'autorisations pour l'ensemble d'autorisations Research Administrator est une approche valide pour restreindre les autorisations d'un rôle spécifique, mais une SCP est plus large et s'applique à toutes les entités du compte. Déployer une fonction AWS Lambda qui supprime les utilisateurs IAM nouvellement créés est une solution réactive et non proactive, qui ne prévient pas la création initiale et pourrait entraîner des problèmes de conformité ou des alertes.