AWS Organizations에는 모든 계정을 포함하는 Production이라는 단일 OU가 있습니다. 특정 서비스에 대한 액세스를 제한하기 위해 루트 수준의 deny-list SCP가 사용됩니다. 새로 초대한 인수된 비즈니스 단위의 계정이 회사 정책을 준수하도록 기존 AWS Config 규칙을 업데이트할 수 없습니다. 기존 정책을 유지하고 시행하면서 최소한의 지속적인 유지 관리로 새 계정 관리자가 필요한 변경을 즉시 수행할 수 있도록 하는 접근 방식은 무엇입요?

새 계정을 위한 임시 Onboarding OU를 생성하고 해당 OU에 AWS Config 작업을 허용하는 SCP를 연결하면 새 계정 관리자가 필요한 변경을 수행할 수 있습니다. 조직의 루트 SCP를 Production OU 아래로 이동하면 기존 Production OU의 모든 계정에 대한 deny-list 정책이 유지됩니다. AWS Config 수정이 완료되면 새 계정을 Production OU로 이동하여 기존 정책을 적용할 수 있습니다. 다른 옵션들은 다음과 같은 이유로 적절하지 않습니다. AWS Config를 차단하는 deny-list SCP를 제거하는 것은 기존 정책을 유지하지 못합니다. 임시 Onboarding OU를 생성하고 AWS Config 작업을 허용하는 SCP를 연결하는 것은 좋지만, 조직 루트 SCP를 Production OU 아래로 이동하지 않으면 루트 SCP가 여전히 새 계정에 영향을 미칠 수 있습니다. deny-list SCP를 allow-list SCP로 변환하는 것은 기존 정책을 유지하지 못하며, 복잡하고 오류 발생 가능성이 높습니다.