Un'azienda sta configurando un ambiente multi-account con AWS Organizations e AWS IAM Identity Center (AWS Single Sign-On). L'azienda deve limitare i team di sviluppo a specifiche Regioni AWS e limitare ogni account solo ai servizi AWS approvati, con il minimo overhead operativo. Quale soluzione soddisfa questi requisiti?

Le Service Control Policies (SCP) sono la soluzione più efficace per imporre limiti a livello di organizzazione, come la restrizione delle Regioni AWS e dei servizi consentiti. Le SCP vengono applicate a livello di account o di unità organizzativa (OU) in AWS Organizations, garantendo che nessun utente o ruolo all'interno degli account interessati possa superare tali limiti, anche se le loro policy IAM individuali lo consentirebbero. Questo riduce al minimo l'overhead operativo perché le regole vengono gestite centralmente e si applicano automaticamente a tutti gli account e le entità pertinenti. Le altre opzioni sono meno adatte: L'uso di IAM Identity Center con policy IAM non è sufficiente perché le policy IAM si applicano solo a specifiche identità e possono essere aggirate se un utente ottiene privilegi elevati. Disabilitare AWS STS in alcune Regioni è una misura drastica e non granulare; non impedisce l'uso di servizi consentiti in altre Regioni e può interrompere servizi legittimi. Creare policy basate sull'identità personalizzate per ogni account è un approccio con un elevato overhead operativo e non garantisce che i limiti siano applicati a tutti gli utenti e i ruoli, a differenza delle SCP.