Une organisation gère de manière centralisée des centaines de comptes AWS avec AWS Organizations. Les équipes produit créent et gèrent désormais des points d'accès S3 (S3 Access Points) dans leurs comptes. Tous les points d'accès S3 doivent être accessibles uniquement depuis des VPC (pas d'accès internet). Quelle est la manière la plus efficace sur le plan opérationnel d'appliquer cette exigence à l'échelle de l'organisation ?

La création d'une politique de contrôle de service (SCP) à la racine de l'organisation est la méthode la plus efficace sur le plan opérationnel car elle applique de manière centralisée la restriction à tous les comptes membres de l'organisation sans nécessiter de configuration individuelle. La SCP refusera la création de points d'accès S3 si la condition s3:AccessPointNetworkOrigin n'est pas VPC, garantissant ainsi que tous les nouveaux points d'accès sont limités au réseau VPC. Les autres options sont moins efficaces ou incorrectes : Appliquer une politique de ressource S3 Access Point ne fonctionnerait pas pour empêcher la création d'un point d'accès non conforme, car la politique est attachée après la création. Utiliser AWS CloudFormation StackSets pour déployer une politique IAM dans chaque compte est opérationnellement plus lourd et moins centralisé qu'une SCP, car cela nécessite la gestion des déploiements dans chaque compte. Définir une politique de compartiment S3 est incorrect car les politiques de compartiment s'appliquent aux compartiments, pas à la création de points d'accès S3.