한 회사에서 개발 및 프로덕션용으로 별도의 OU를 사용하여 AWS Organizations를 사용합니다. 프로덕션 OU의 AWS 계정만 특정 Amazon S3 버킷에 VPC Flow Logs를 쓸 수 있도록 허용해야 합니다. s3:PutObject에 대한 S3 버킷 정책에 Condition 요소를 추가할 때 보안 엔지니어는 조건을 어떻게 구성해야 합니까?

정답은 aws:SourceOrgPaths 조건 키를 프로덕션 OU의 AWS Organizations 엔터티 경로로 설정하는 것입니다. 이 조건은 요청을 시작한 AWS 계정이 특정 조직 단위(OU) 경로에 속하는지 확인하여, 프로덕션 OU 내의 계정만 S3 버킷에 VPC Flow Logs를 쓸 수 있도록 제한합니다. aws:SourceOrgPaths는 요청을 생성한 계정의 OU 경로를 확인하는 데 사용됩니다. 오답 설명: aws:SourceOrgID는 요청을 시작한 계정이 특정 조직에 속하는지 확인하지만, 특정 OU 내의 계정으로 제한하지는 않습니다. aws:ResourceOrgID 및 aws:ResourceOrgPaths는 요청을 받는 리소스(이 경우 S3 버킷)가 특정 조직 또는 OU에 속하는지 확인하는 데 사용됩니다. S3 버킷 자체는 조직에 속하지만, 이 조건은 요청을 시작하는 계정을 제한하는 데는 적합하지 않습니다.