De organisatie delegeert een specifiek IP-adresbereik voor VPC CIDR's en niet-cloud hardware. U moet voorkomen dat principals buiten het IP-bereik van het bedrijf AWS-acties uitvoeren voor de accounts van de organisatie. Welke aanpak zal aan deze vereiste voldoen?

De juiste aanpak is het maken van een Service Control Policy (SCP) die verzoeken weigert die afkomstig zijn van bron-IP-adressen buiten het bedrijfs-IP-bereik en deze te koppelen aan de root van de organisatie. SCP's zijn krachtige beveiligingscontroles binnen AWS Organizations die op organisatie-eenheid (OU) of root-niveau kunnen worden toegepast om maximale permissies voor alle accounts te definiëren. Door een expliciete 'Deny'-regel te gebruiken met de aws:SourceIp voorwaardenoperator, wordt effectief voorkomen dat principals buiten het gespecificeerde IP-bereik AWS-acties uitvoeren. De andere opties zijn minder effectief of onjuist: AWS Firewall Manager met Amazon Network Firewall is voor netwerkverkeer en niet voor het beperken van AWS API-aanroepen op basis van bron-IP. GuardDuty is een detectieservice voor bedreigingen en geen preventief controlemechanisme voor API-toegang. Een SCP maken die alleen verzoeken toestaat (een expliciete 'Allow') is gevaarlijk, omdat dit alle andere expliciete 'Deny'-regels in onderliggende beleidsregels zou overschrijven, wat onbedoelde toegang zou kunnen creëren. Een 'Deny'-regel in een SCP heeft altijd voorrang en is de veiligere optie voor deze use case.