Un'azienda con molti account membro in AWS Organizations è preoccupata per il potenziale uso improprio delle credenziali dell'utente root. L'azienda vuole assicurarsi che, anche se le credenziali root vengono compromesse, l'account rimanga protetto. Quale soluzione soddisfa questo requisito?

Le Service Control Policies (SCP) sono il metodo più efficace per limitare le azioni dell'utente root all'interno di un'organizzazione AWS. Le SCP possono negare esplicitamente l'accesso a servizi specifici o azioni API per l'utente root in tutti gli account membri, anche se le credenziali fossero compromesse. Rimuovere la password dell'utente root non è possibile; AWS richiede che l'utente root abbia una password. Eliminare tutte le chiavi di accesso root è una buona pratica di sicurezza, ma non impedisce all'utente root di accedere tramite la console con la password. Creare una regola Amazon EventBridge per rilevare l'attività API dell'utente root è utile per il monitoraggio e l'allerta, ma non impedisce l'abuso delle credenziali compromesse; agisce solo dopo che l'attività si è verificata.