한 회사에서 여러 부서의 AWS 계정을 관리하기 위해 AWS Organizations를 사용합니다. 관리 계정은 프로젝트 보고서가 포함된 Amazon S3 버킷을 소유하고 있습니다. 이 회사는 이 S3 버킷에 대한 액세스를 AWS Organization 내의 계정 사용자에게만 제한하려고 합니다. 운영 오버헤드가 가장 적은 솔루션은 무엇입요?

정답은 S3 버킷 정책에 조직 ID를 참조하는 aws:PrincipalOrgID 전역 조건 키를 추가하는 것입니다. 이 방법은 AWS Organizations 내의 모든 계정에 속한 사용자에게만 S3 버킷 액세스를 제한하는 가장 간단하고 운영 오버헤드가 적은 방법입니다. aws:PrincipalOrgID 조건 키는 요청을 수행하는 주체가 특정 조직 ID에 속하는지 확인합니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. 각 부서에 대한 OU(조직 단위)를 생성하고 aws:PrincipalOrgPaths를 사용하는 것은 더 복잡하며, 조직 내의 모든 계정이 아닌 특정 OU에 속한 계정으로만 제한하게 됩니다. AWS CloudTrail 이벤트를 모니터링하고 S3 버킷 정책을 수동으로 업데이트하는 것은 운영 오버헤드가 매우 크고 실시간으로 정책을 유지하기 어렵습니다. 각 사용자에게 태그를 지정하고 aws:PrincipalTag를 사용하는 것은 모든 사용자에게 태그를 일관되게 적용하고 관리해야 하므로 운영 오버헤드가 크고 오류 발생 가능성이 높습니다.