Un'azienda utilizza più account AWS nell'ambito di AWS Organizations. Esiste un'OU per la produzione e un'altra per lo sviluppo. Le regole aziendali consentono agli sviluppatori di utilizzare solo servizi AWS pre-approvati nell'account di produzione. Qual è il modo più efficiente dal punto di vista operativo per applicare questa restrizione all'account di produzione?

La risposta corretta è creare una Service Control Policy (SCP) e allegarla all'OU di produzione. Le SCP sono il modo più efficiente e centralizzato per applicare autorizzazioni a livello di organizzazione o OU in AWS Organizations. Consentono di specificare le azioni AWS che gli utenti e i ruoli possono eseguire negli account membri, limitando efficacemente l'uso dei servizi non approvati. Le altre opzioni sono meno efficienti o inappropriate: Creare una policy IAM gestita dal cliente e allegarla a tutti gli utenti nell'account di produzione richiederebbe la gestione di policy individuali per ogni utente, il che è inefficiente e soggetto a errori. Creare una policy IAM per la funzione di lavoro e applicarla a tutti gli utenti nell'OU di produzione è simile all'opzione precedente e non sfrutta le capacità di controllo centralizzato di AWS Organizations. Creare una policy IAM e applicarla tramite Amazon API Gateway per limitare le azioni nell'account di produzione è un approccio errato. API Gateway è un servizio per la creazione, pubblicazione, manutenzione, monitoraggio e protezione di API su qualsiasi scala, non per l'applicazione di controlli di autorizzazione a livello di account AWS.