ある企業は、AWS Organizations 組織外の IAM プリンシパルと Amazon S3 オブジェクトが共有されるのを防ぐ必要があります。この要件を適用するためにサービスコントロールポリシー (SCP) を作成しており、すべてのバケットで S3 Block Public Access をすでに有効にしています。この要件を満たすために SCP は何をすべきですか？

正解は、SCPでS3:を拒否し、Conditionでaws:ResourceOrgIDに対してStringNotEqualsを使用し、値を${aws:PrincipalOrgID}に設定することです。これにより、S3バケットが組織外のAWSアカウントに属する場合、S3へのすべてのアクセスが拒否されます。S3 Block Public Accessはパブリックアクセスをブロックしますが、組織外のIAMプリンシパルとの共有は防ぎません。他の選択肢は、特定のAPIアクションのみをブロックしたり、組織外のプリンシパルを正確に識別できなかったりするため、要件を満たしません。