Un'organizzazione utilizza AWS Organizations per gestire più account AWS. Un architetto di soluzioni deve applicare una policy in cui solo i ruoli di amministratore possono eseguire azioni IAM in tutta l'organizzazione. L'architetto non ha accesso a tutti gli account AWS. Quale approccio applica questa policy con il minor overhead operativo?

L'opzione corretta è creare una Service Control Policy (SCP) che nega esplicitamente le azioni IAM per tutti i principali, tranne quelli con ruoli di amministratore, e collegarla all'OU root. Le SCP sono il metodo più efficace per applicare controlli di sicurezza a livello di organizzazione in AWS Organizations, poiché si applicano a tutti gli account membri e non possono essere aggirate dagli utenti all'interno degli account. Questo approccio minimizza l'overhead operativo perché la policy viene definita una sola volta e applicata centralmente. L'opzione che crea una SCP che consente le azioni IAM solo per i ruoli di amministratore è meno efficace perché le SCP sono intrinsecamente "deny-by-default" e una policy di permesso non impedirebbe ad altri principali di eseguire azioni IAM se non ci sono altre policy di negazione. Configurare AWS CloudTrail con una funzione Lambda per negare le azioni è un approccio reattivo e non preventivo, con un overhead operativo molto più elevato e una latenza che potrebbe consentire azioni indesiderate prima della negazione. Definire un IAM permissions boundary e collegarlo a ogni ruolo di amministratore richiederebbe la gestione manuale o l'automazione in ogni account e per ogni ruolo, aumentando significativamente l'overhead operativo e non garantendo una copertura completa se nuovi ruoli vengono creati senza il permissions boundary.