관리자가 AWS 계정 1111-1111-1111이 포함된 OU(조직 단위)에 SCP(서비스 제어 정책)를 연결했습니다. 해당 계정의 개발자들이 Amazon S3 버킷을 생성할 수 없다고 보고합니다. 개발자들이 버킷을 생성할 수 있도록 관리자는 이 문제를 해결하기 위해 무엇을 해야 할까요?

SCP는 권한 경계 역할을 하며, 허용되지 않은 작업을 명시적으로 거부하거나 허용된 작업을 제한할 수 있습니다. SCP는 계정의 최대 권한을 정의하지만, 실제 권한은 IAM 정책에 의해 부여됩니다. 따라서 SCP가 S3 버킷 생성을 명시적으로 거부하지 않는 한, 개발자에게 필요한 S3 권한을 IAM 사용자, 그룹 또는 역할에 추가해야 합니다. SCP를 수정하여 s3:CreateBucket을 허용하는 것은 불필요하며, 계정을 OU에서 제거하는 것은 조직 구조를 복잡하게 만들고 다른 SCP의 이점을 잃게 합니다. 계정에서 SCP를 제거하는 것은 보안 위험을 초래할 수 있습니다.