한 헬스케어 회사가 AWS Organizations 조직에 여러 AWS 계정을 가지고 있습니다. 이 회사는 민감한 환자 데이터를 Amazon S3에 저장하며, 모든 계정에서 사용자가 S3 버킷을 삭제하는 것을 막아야 합니다. 이 제어를 적용하는 가장 확장성 있는 방법은 무엇입니까?

SCPs(Service Control Policies)는 AWS Organizations의 모든 계정에 걸쳐 권한을 중앙에서 관리하고 제한하는 데 가장 확장성 있는 방법입니다. SCP를 사용하면 S3 버킷 삭제와 같은 특정 작업을 모든 계정에서 명시적으로 거부하여 민감한 환자 데이터의 무단 삭제를 방지할 수 있습니다. IAM 권한 경계는 개별 IAM 주체(사용자 또는 역할)에 적용되며, 조직 전체의 일관된 제어를 적용하기에는 확장성이 떨어집니다. S3 버킷 정책은 개별 S3 버킷에만 적용되므로 여러 계정의 모든 버킷에 걸쳐 일관된 제어를 적용하기에는 관리 부담이 큽니다. 태그 정책은 리소스 태그를 표준화하는 데 사용되며, 권한을 직접 제어하지 않습니다.