Une organisation possède plusieurs comptes AWS sous AWS Organizations. Les administrateurs ont utilisé les identifiants de l'utilisateur root dans les comptes membres, et l'entreprise souhaite bloquer toute action de l'utilisateur root sur les ressources EC2 dans tous les comptes membres. Quelle est la manière appropriée pour un administrateur SysOps d'appliquer cette exigence de manière centralisée ?

La création d'une politique de contrôle de service (SCP) depuis le compte de gestion de l'organisation est la méthode la plus appropriée pour appliquer cette exigence de manière centralisée. Les SCP permettent de définir des autorisations maximales pour tous les comptes membres d'une organisation, garantissant ainsi que l'utilisateur root ne peut pas effectuer d'actions EC2, même si une politique IAM locale l'autoriserait. Attacher une politique IAM basée sur l'identité dans chaque compte membre est moins efficace car cela nécessiterait une configuration manuelle ou automatisée pour chaque compte, ce qui est moins centralisé et plus sujet aux erreurs. AWS Config est un service d'évaluation, d'audit et d'évaluation des configurations, non un outil de prévention des actions. Amazon Inspector est un service d'analyse de vulnérabilités, pas un mécanisme de blocage des actions utilisateur.