Un'azienda utilizza AWS Organizations per gestire più account AWS per diversi dipartimenti. L'account di gestione possiede un bucket Amazon S3 che contiene i report di progetto. L'azienda desidera limitare l'accesso a questo bucket S3 solo agli utenti degli account all'interno dell'AWS Organization. Quale soluzione soddisfa questo requisito con il minor overhead operativo?

L'opzione corretta è aggiungere la chiave di condizione globale aws:PrincipalOrgID con un riferimento all'ID dell'organizzazione alla policy del bucket S3. Questa soluzione è la più efficiente perché aws:PrincipalOrgID verifica che il principal che effettua la richiesta appartenga all'AWS Organization specificata, garantendo che solo gli utenti degli account membri dell'organizzazione possano accedere al bucket. Questo riduce al minimo l'overhead operativo poiché la policy non deve essere modificata ogni volta che un account viene aggiunto o rimosso dall'organizzazione. Le altre opzioni sono meno efficienti: Creare un'unità organizzativa (OU) per ogni dipartimento e usare aws:PrincipalOrgPaths aumenterebbe la complessità della gestione delle policy e richiederebbe aggiornamenti se la struttura delle OU cambia. Utilizzare AWS CloudTrail per monitorare gli eventi e aggiornare manualmente la policy del bucket S3 è un processo manuale e ad alto overhead operativo, incline a errori e ritardi. Taggare ogni utente e usare aws:PrincipalTag richiederebbe una gestione manuale dei tag per ogni utente in tutti gli account, il che è inefficiente e difficile da scalare.