L'azienda è organizzata in team, ognuno dei quali possiede un account AWS all'interno di un'organizzazione AWS Organizations. I team devono mantenere i privilegi di amministratore completi nei propri account, ma possono utilizzare solo i servizi AWS che sono stati approvati tramite un processo di richiesta e approvazione. In che modo un ingegnere DevOps dovrebbe applicare questa policy tra gli account?

La risposta corretta è creare una Service Control Policy (SCP) che consenta esplicitamente solo i servizi AWS approvati e allegarla alla root dell'organizzazione, rimuovendo l'SCP FullAWSAccess predefinito. Le SCP sono il metodo più efficace e centralizzato per applicare permessi massimi a livello di organizzazione, garantendo che nessun account, inclusi quelli con privilegi di amministratore, possa utilizzare servizi non approvati. Negare l'accesso ai servizi non consentiti è più complesso da gestire rispetto a consentire esplicitamente solo ciò che è permesso. Le altre opzioni sono meno efficaci: L'uso di CloudFormation StackSets e AWS Config per distribuire e verificare policy IAM è meno efficiente e più difficile da mantenere su larga scala, poiché le policy IAM possono essere aggirate dagli amministratori di account. AWS Control Tower e IAM Identity Center non applicano restrizioni a livello di servizio per gli amministratori di account in modo così pervasivo come le SCP. Inserire tutti gli account in una nuova OU di primo livello e allegare una SCP di negazione è meno sicuro rispetto a una SCP che consente esplicitamente solo i servizi approvati, poiché è più facile dimenticare di negare un servizio specifico.