Un'azienda sanitaria ha più account AWS in un'organizzazione AWS Organizations. L'azienda memorizza dati sensibili dei pazienti in Amazon S3 e deve impedire agli utenti di eliminare qualsiasi bucket S3 in tutti gli account. Qual è il modo più scalabile per applicare questo controllo?

Le Service Control Policy (SCP) sono il modo più scalabile per applicare questo controllo. Le SCP consentono di definire i permessi massimi per tutti gli account membri di un'organizzazione AWS Organizations, impedendo azioni specifiche come l'eliminazione di bucket S3, anche se un utente o un ruolo ha permessi più ampi a livello di account. Questo garantisce una protezione centralizzata e coerente su tutti gli account. Le IAM permission boundaries definiscono i permessi massimi per un'entità IAM (utente o ruolo) all'interno di un singolo account, ma non possono impedire a un amministratore di rimuovere il boundary o di creare nuove entità senza di esso. Le S3 bucket policies si applicano solo a un singolo bucket S3 e non possono essere applicate centralmente a tutti i bucket in tutti gli account. Le tag policies vengono utilizzate per standardizzare l'uso dei tag e non per controllare le azioni sui servizi.