Un'AWS Organization ha una singola OU denominata Production che contiene tutti gli account. Vengono utilizzati SCP deny-list a livello di root per limitare l'accesso a determinati servizi. Un account appena invitato da un'unità aziendale acquisita non può aggiornare le regole AWS Config esistenti per conformarsi alla policy aziendale. Quale approccio consente agli amministratori del nuovo account di apportare le modifiche richieste ora, preservando e applicando le policy esistenti con una manutenzione continua minima?

L'opzione corretta consente di isolare temporaneamente il nuovo account per le modifiche necessarie, mantenendo la governance esistente. Creando una OU Onboarding temporanea e allegando un SCP permissivo solo per AWS Config, il nuovo account può aggiornare le regole. Spostare gli SCP root sotto la OU Production assicura che le policy deny-list continuino ad applicarsi agli account esistenti. Una volta completate le modifiche, l'account viene spostato nella OU Production, ereditando le policy deny-list. Le altre opzioni sono meno efficaci: Rimuovere gli SCP deny-list dalla root indebolirebbe la sicurezza per tutti gli account. AWS Service Catalog non risolve il problema delle autorizzazioni immediate. Creare una OU Onboarding temporanea con un SCP permissivo è un buon inizio, ma non spostare gli SCP root sotto la OU Production significa che l'account, una volta spostato, potrebbe comunque essere bloccato dagli SCP root. Convertire gli SCP root in allow-list è un cambiamento significativo e complesso, che richiede un'analisi approfondita di tutti i servizi necessari e non è una soluzione rapida per un problema specifico.