한 회사에서 AWS Organizations를 통해 여러 AWS 계정을 사용합니다. 프로덕션용 OU와 개발용 OU가 있습니다. 회사 규정에 따라 개발자는 프로덕션 계정에서 사전 승인된 AWS 서비스만 사용할 수 있습니다. 프로덕션 계정에 대한 이러한 제한을 적용하는 가장 운영 효율적인 방법은 무엇입니다?

서비스 제어 정책(SCP)은 AWS Organizations의 기능으로, 조직의 모든 계정에 걸쳐 권한을 중앙에서 관리할 수 있습니다. SCP를 프로덕션 OU에 연결하면 해당 OU 내의 모든 프로덕션 계정에 정책이 적용되어 개발자가 프로덕션 환경에서 사전 승인된 서비스만 사용하도록 제한할 수 있습니다. 이는 계정 수준에서 개별 IAM 정책을 관리하는 것보다 훨씬 운영 효율적입니다. 고객 관리형 IAM 정책은 개별 계정 내에서만 적용되며, 여러 계정에 걸쳐 일관된 제한을 적용하기 위해서는 각 계정에 수동으로 정책을 연결해야 하므로 비효율적입니다. IAM 작업 기능 정책은 존재하지 않는 개념입니다. Amazon API Gateway는 API 요청을 관리하는 서비스이지, 계정 전체의 권한을 제한하는 데 사용되지 않습니다.