Agli amministratori di più account membro in un'AWS Organization — inclusi quelli che dispongono delle credenziali root per i loro account — deve essere impedito l'utilizzo di Amazon DynamoDB, pur mantenendo l'accesso ad altri servizi AWS. Quale metodo imporrà questa restrizione a livello di organizzazione?

La risposta corretta è creare una Service Control Policy (SCP) dall'account di gestione che neghi tutte le azioni DynamoDB e allegarla alla root dell'organizzazione. Le SCP sono l'unico modo per imporre restrizioni a livello di organizzazione, inclusi gli utenti root, e sono efficaci su tutti gli account membri. Le altre opzioni sono errate perché: Allegare policy IAM a ogni account membro non è scalabile e non impedisce all'utente root di rimuovere tali policy. Negare la policy gestita AmazonDynamoDBFullAccess non impedisce l'accesso tramite altre policy o credenziali root. Rimuovere l'SCP predefinita e sostituirla con una singola istruzione di negazione non è necessario; è sufficiente aggiungere una nuova SCP di negazione.