Une équipe de sécurité souhaite limiter l'accès à des services ou actions spécifiques sur tous les comptes AWS d'une grande organisation AWS Organizations. La solution doit être évolutive et offrir un point centralisé pour la gestion des autorisations. Que doit faire un architecte de solutions ?

La création d'une politique de contrôle de service (SCP) dans l'unité organisationnelle racine est la solution la plus évolutive et centralisée. Les SCPs permettent de définir des autorisations maximales pour tous les comptes d'une OU ou de l'organisation entière, refusant l'accès à des services ou actions spécifiques de manière centralisée. Les ACLs (Listes de Contrôle d'Accès) sont utilisées pour les ressources réseau, pas pour les autorisations de service. Les groupes de sécurité contrôlent le trafic réseau vers les instances EC2, pas les autorisations de service. Les rôles inter-comptes sont pour déléguer l'accès entre comptes, mais leur gestion sur chaque compte ne serait pas centralisée ni évolutive pour refuser l'accès à l'échelle de l'organisation.