Un team di sicurezza vuole limitare l'accesso a servizi o azioni specifici in tutti gli account AWS di un'organizzazione AWS Organizations di grandi dimensioni. La soluzione deve essere scalabile e fornire un unico punto per la gestione delle autorizzazioni. Cosa dovrebbe fare un architetto di soluzioni?

La creazione di una Service Control Policy (SCP) nell'unità organizzativa (OU) root è la soluzione più scalabile ed efficiente. Le SCP consentono di definire le autorizzazioni massime disponibili per tutti gli account membri nell'OU a cui sono allegate, inclusi gli account nelle OU nidificate. Applicando una SCP alla root, si garantisce un punto di gestione unico per le autorizzazioni a livello di organizzazione, negando l'accesso a servizi o azioni specifici in tutti gli account. Le ACL (Access Control List) sono utilizzate principalmente per il controllo del traffico di rete e non per la gestione delle autorizzazioni a livello di servizio in AWS Organizations. I gruppi di sicurezza controllano il traffico a livello di istanza o interfaccia di rete e non sono adatti per la gestione delle autorizzazioni tra account in un'organizzazione. La creazione di ruoli cross-account in ogni account sarebbe un approccio manuale e non scalabile per una grande organizzazione, richiedendo la configurazione individuale per ogni account.