L'organizzazione delega uno specifico intervallo di indirizzi IP per i CIDR VPC e l'hardware non-cloud. È necessario impedire ai principali esterni all'intervallo IP aziendale di eseguire azioni AWS sugli account dell'organizzazione. Quale approccio imporrà questo requisito?

La risposta corretta è creare una Service Control Policy (SCP) che neghi le richieste provenienti da indirizzi IP di origine esterni all'intervallo IP aziendale e allegare l'SCP alla root dell'organizzazione. Le SCP sono strumenti potenti in AWS Organizations per applicare autorizzazioni a livello di organizzazione. Un SCP con una condizione aws:SourceIp può negare esplicitamente tutte le azioni AWS per le richieste che non provengono dall'intervallo IP specificato, garantendo che solo i principali all'interno della rete aziendale possano eseguire azioni. Le altre opzioni sono meno efficaci o inappropriate: AWS Firewall Manager con Amazon Network Firewall è per il traffico di rete in entrata/uscita verso le risorse VPC, non per il controllo delle chiamate API AWS. Abilitare GuardDuty e configurare un elenco IP attendibili aiuta a identificare attività dannose, ma non impedisce attivamente le chiamate API da IP non autorizzati. Un SCP che consente solo le richieste dall'intervallo IP aziendale sarebbe restrittivo e potrebbe bloccare servizi AWS che operano al di fuori di tale intervallo (es. CloudFront, S3), a meno che non sia specificamente configurato per consentire eccezioni, rendendo un approccio di negazione più sicuro e gestibile per questo requisito.