あるAWS Organizationsには、すべてのAWSアカウントを含むProductionという名前の単一のOUがあります。ルートレベルのdeny-list SCPを使用して、特定のサービスへのアクセスを制限しています。買収した事業部門からの新しく招待されたアカウントが、会社のポリシーに準拠するように既存のAWS Configルールを更新できません。既存のポリシーを維持および適用しながら、継続的なメンテナンスを最小限に抑えつつ、新しいアカウント管理者が今すぐ必要な変更を行えるようにするアプローチはどれですか？

このアプローチは、既存のポリシーを維持しつつ、新しいアカウントに一時的な柔軟性を提供します。新しいアカウントを一時的なOnboarding OUに配置し、AWS Configアクションを許可するSCPをアタッチすることで、そのアカウントのみが変更を行えるようになります。ルートレベルのdeny-list SCPをProduction OUの下に移動させることで、既存のProduction OU内のアカウントには引き続き同じ制限が適用され、新しいアカウントは影響を受けません。変更が完了したら、アカウントをProduction OUに戻すことで、会社の標準ポリシーに準拠させることができます。 他の選択肢は、組織全体のセキュリティ体制を弱めたり、不必要な複雑さを導入したりします。ルートSCPを削除する、またはallow-list SCPに変換する選択肢は、広範囲にわたる影響を及ぼし、セキュリティリスクを高めます。一時的にルートにSCPをアタッチする選択肢は、他のアカウントにも影響を与える可能性があります。