한 조직에 AWS Organizations에 속한 여러 AWS 계정이 있습니다. 관리자는 멤버 계정에서 root 사용자 자격 증명을 사용해 왔으며, 회사는 모든 멤버 계정의 EC2 리소스에 대한 root 사용자 작업을 차단하고자 합니다. SysOps 관리자가 이 요구 사항을 중앙에서 적용하는 적절한 방법은 무엇입니까?

정답은 조직의 관리 계정에서 모든 멤버 계정에 대해 EC2의 root 사용자 작업을 거부하는 서비스 제어 정책(SCP)을 생성하는 것입니다. SCP는 AWS Organizations의 여러 계정에 걸쳐 권한을 중앙에서 관리하는 데 사용됩니다. SCP를 사용하면 멤버 계정의 root 사용자를 포함하여 지정된 AWS 서비스 또는 API 작업에 대한 액세스를 명시적으로 거부할 수 있습니다. 다른 옵션들은 적절하지 않습니다. 각 멤버 계정에 개별적으로 IAM 정책을 연결하는 것은 중앙에서 관리하는 방법이 아니며, 모든 계정에 일관된 적용을 보장하기 어렵습니다. AWS Config는 규정 준수 감사 및 리소스 변경 사항 추적에 사용되지만, root 사용자 작업을 직접 차단하는 메커니즘은 아닙니다. Amazon Inspector는 보안 취약점을 평가하고 비정상적인 활동을 감지하지만, 정책을 적용하여 작업을 차단하는 도구는 아닙니다.