Un'applicazione di sicurezza per l'auditing in un account AWS assume un ruolo IAM per accedere ad altri account nella stessa AWS Organization. Un audit di sicurezza ha rilevato che gli utenti negli account membri sottoposti ad audit possono modificare o eliminare il ruolo IAM dell'applicazione di auditing. L'azienda deve impedire a chiunque, tranne a un ruolo IAM di amministratore fidato, di modificare tale ruolo di auditing. Quale approccio soddisferà questo requisito?

La risposta corretta è creare un SCP (Service Control Policy) dell'organizzazione che neghi le modifiche al ruolo IAM dell'applicazione di auditing, includendo una condizione per consentire al ruolo IAM dell'amministratore fidato. Allegare l'SCP alla root dell'organizzazione garantisce che la politica si applichi a tutti gli account membri, impedendo a chiunque, tranne l'amministratore designato, di modificare il ruolo. Le altre opzioni sono errate perché: Un SCP che nega esplicitamente le modifiche da parte di tutti gli altri principal e lo allega al servizio IAM in ogni account non è il modo più efficiente o scalabile per gestire la politica a livello di organizzazione. I permissions boundary IAM limitano le autorizzazioni massime che un'identità può avere, ma non possono negare esplicitamente le azioni su risorse specifiche in altri account o a livello di organizzazione in modo così granulare come un SCP. Inoltre, applicare un permissions boundary agli account o al ruolo di auditing stesso non impedirebbe ad altri utenti di modificare il ruolo se le loro policy lo consentono.