AWS Organizationsは、セキュリティチームとDevOpsチームによって管理されており、どちらのチームもIAM Identity Center (SSO) を使用しています。DevOpsグループには、AdministratorAccessがアタッチされ、すべてのAWSアカウントに適用されたDevOpsという名前のアクセス許可セットがあります。セキュリティチームは、DevOpsが管理アカウントのIAM Identity Centerにアクセスできないように、組織のルートにSCPをアタッチしましたが、DevOpsは依然としてアクセスできます。DevOpsが管理アカウントのIAM Identity Centerにアクセスできないようにするには、どのような変更が必要ですか？

IAM Identity Centerのアクセス許可セットに明示的な拒否を追加する方法が最も適切です。これにより、DevOpsグループは他のアカウントではAdministratorAccessを維持しつつ、管理アカウントのIAM Identity Centerへのアクセスのみが拒否されます。aws:SourceAccount条件は、特定のAWSアカウントからのアクセスをターゲットにするために使用されます。SCPは組織全体に適用されるため、管理アカウントのIAM Identity Centerへのアクセスのみを拒否する目的には適していません。SCPを削除することで、他のアカウントへの影響を避けることができます。他の選択肢は、管理アカウントの移動や不必要なロールの作成など、より複雑な変更を伴い、目的を達成できません。