Un'AWS Organization è gestita da un team di sicurezza e un team DevOps; entrambi utilizzano IAM Identity Center (SSO). Il gruppo DevOps ha un permission set chiamato DevOps con AdministratorAccess allegato e applicato a tutti gli account. Il team di sicurezza ha allegato un SCP alla root dell'organizzazione per impedire a DevOps di accedere a IAM Identity Center nell'account di gestione, ma DevOps può ancora accedervi. Quale modifica bloccherà l'accesso di DevOps a IAM Identity Center nell'account di gestione?

La risposta corretta è aggiornare il permission set DevOps in IAM Identity Center. Gli SCP (Service Control Policies) non si applicano all'account di gestione per le azioni eseguite da utenti o ruoli all'interno di tale account, ma solo ai membri dell'organizzazione. Pertanto, l'SCP esistente non può impedire al team DevOps di accedere a IAM Identity Center nell'account di gestione. Modificando il permission set DevOps per includere un deny esplicito per le azioni sso: e sso-directory: con una condizione che limita l'applicazione all'account di gestione (aws:SourceAccount), si impedisce al team DevOps di accedere a IAM Identity Center specificamente in quell'account, mantenendo l'accesso completo altrove. Le altre opzioni sono inefficaci: spostare l'account di gestione in una nuova OU non risolve il problema dell'SCP che non si applica all'account di gestione stesso; modificare la condizione dell'SCP per fare riferimento all'ARN del ruolo DevOps non funziona per lo stesso motivo; creare un nuovo permission set con deny esplicito e poi eliminare l'SCP è ridondante se l'SCP non è efficace.