Un'organizzazione utilizza AWS Organizations con una OU root e una OU figlia. La SCP della OU root consente tutte le azioni su tutte le risorse. La SCP della OU figlia consente tutte le azioni DynamoDB e Lambda e nega tutte le altre azioni. C'è un account chiamato vendor-data nella OU figlia. Un utente IAM in quell'account ha la policy IAM AdministratorAccess ma riceve AccessDenied quando tenta di avviare un'istanza EC2. Quale modifica dovrebbe essere apportata affinché l'utente IAM possa avviare istanze EC2 nell'account vendor-data?

La SCP (Service Control Policy) della OU figlia nega esplicitamente tutte le azioni tranne DynamoDB e Lambda. Poiché le SCP sono politiche di negazione implicita, qualsiasi azione non esplicitamente consentita viene negata, indipendentemente dalle policy IAM a livello di account. Per consentire all'utente di avviare istanze EC2, la SCP della OU figlia deve essere modificata per includere le azioni EC2. Le altre opzioni sono errate perché: Allegare AmazonEC2FullAccess all'utente IAM non risolve il problema, in quanto la SCP della OU figlia ha la precedenza e continua a negare le azioni EC2. Creare una nuova SCP e allegarla all'account vendor-data non è possibile, poiché le SCP possono essere allegate solo a root, OU o account, e non possono essere applicate a un singolo account se c'è già una SCP più restrittiva a livello di OU. Le SCP sono ereditate e la più restrittiva prevale. Allegare una nuova SCP alla OU root non è efficace perché la SCP della OU figlia, essendo più specifica e restrittiva, continuerebbe a negare le azioni EC2.