Un amministratore della sicurezza deve limitare l'uso delle credenziali dell'utente root tra gli account membro in un'organizzazione AWS Organizations. Tutte le funzionalità sono abilitate. L'account di gestione viene utilizzato solo per la fatturazione e l'amministrazione, non per le operazioni. In che modo l'amministratore può limitare l'utilizzo dell'utente root dell'account membro in tutta l'organizzazione?

La risposta corretta è creare un'unità organizzativa (OU) in AWS Organizations, allegare una Service Control Policy (SCP) che limiti l'utilizzo dell'utente root e aggiungere tutti gli account membro a tale OU. Questo è il metodo più efficace e scalabile per imporre restrizioni a livello organizzativo. Le SCP consentono di definire le autorizzazioni massime disponibili per gli account membri, inclusa la limitazione delle azioni eseguibili dall'utente root. Disabilitare l'uso dell'utente root nella root dell'organizzazione non è possibile, poiché l'utente root è intrinseco a ogni account AWS. Abilitare l'MFA per l'utente root è una buona pratica di sicurezza, ma non ne limita l'utilizzo. Configurare le policy utente IAM non è sufficiente, poiché le policy IAM non possono limitare l'utente root stesso, che ha sempre pieni poteri. Integrare CloudTrail con CloudWatch Logs è utile per il monitoraggio e l'audit, ma non previene l'uso dell'utente root.