Un'azienda utilizza AWS Organizations e distribuisce tutte le risorse (incluse le policy IAM e S3) tramite CloudFormation da CodeCommit. Recentemente, gli sviluppatori in alcuni account non riescono ad accedere a un bucket S3. Il bucket ha una policy allegata (non mostrata qui). Cosa dovrebbe fare l'ingegnere DevOps per risolvere il problema di accesso?

L'opzione corretta affronta le due cause più comuni di negazione dell'accesso in un ambiente AWS Organizations: le Service Control Policy (SCP) e gli IAM Permissions Boundaries. Le SCP possono negare esplicitamente l'accesso a servizi o azioni a livello di account, sovrascrivendo qualsiasi permesso IAM. Gli IAM Permissions Boundaries limitano i permessi massimi che un'identità IAM può avere. Entrambi devono essere verificati e modificati tramite il processo CI/CD (CodeCommit e CloudFormation) per garantire la conformità e la tracciabilità. Le opzioni errate non considerano tutte le possibili cause o propongono soluzioni incomplete/non ottimali. Modificare la policy del bucket S3 per disattivare S3 Block Public Access non è una pratica di sicurezza consigliata e non risolve il problema se la negazione proviene da SCP o IAM Permissions Boundaries. Verificare e aggiornare solo gli IAM boundaries senza considerare le SCP è incompleto. Creare una SCP che impedisca la modifica delle risorse IAM non risolve il problema di accesso al bucket S3 e potrebbe introdurre ulteriori restrizioni non desiderate.