Un'azienda utilizza più account AWS per carichi di lavoro di produzione e non di produzione tra i team DevOps. Vogliono limitare centralmente l'accesso a un piccolo insieme di servizi AWS che i team DevOps non utilizzano, consentendo al contempo l'accesso ai servizi attualmente in uso. Hanno già invitato tutti gli account in AWS Organizations. Vogliono anche amministrare gruppi di account insieme. Quale combinazione di azioni dovrebbe intraprendere un architetto di soluzioni? (Scegliere tre.)

Per limitare centralmente l'accesso a specifici servizi AWS, una strategia di deny-list (negazione esplicita) tramite Service Control Policies (SCP) è la più efficace. Questo approccio consente di bloccare i servizi non desiderati, mentre tutti gli altri sono implicitamente consentiti, soddisfacendo il requisito di consentire l'accesso ai servizi in uso. IAM Access Advisor è fondamentale per identificare i servizi effettivamente utilizzati dai principal, fornendo dati concreti per definire quali servizi non sono in uso e possono essere bloccati. La creazione di Unità Organizzative (OU) è essenziale per raggruppare gli account (produzione e non produzione) e applicare SCP in modo granulare, permettendo di amministrare gruppi di account insieme come richiesto. Le altre opzioni sono meno appropriate: AWS Trusted Advisor non fornisce dettagli sull'utilizzo dei servizi da parte dei principal. Rimuovere l'SCP FullAWSAccess predefinito non è necessario; gli SCP deny-list sovrascrivono i permessi. Non esiste un SCP DenyAWSAccess predefinito.