Een 4 jaar oud mediabedrijf gebruikt de AWS Organizations all features feature set. Het financiële team eist dat factureringsinformatie voor member accounts niet toegankelijk mag zijn voor wie dan ook, inclusief de root user van de member accounts. Welke oplossing voldoet aan deze eis?

De juiste oplossing is het maken van een Service Control Policy (SCP) en deze te koppelen aan de root Organizational Unit (OU). SCP's zijn krachtige tools binnen AWS Organizations die maximale permissies voor alle accounts in een OU of de hele organisatie kunnen definiëren. Door een SCP te maken die toegang tot factureringsinformatie weigert en deze aan de root OU te koppelen, wordt deze beperking afgedwongen voor alle accounts, inclusief de root user van de member accounts. Het toevoegen van gebruikers aan een IAM-groep met een Billing policy zou alleen de toegang voor die specifieke gebruikers beheren, niet voor root users of andere gebruikers in member accounts. Een identity-based policy kan de root user niet beperken, aangezien de root user altijd alle permissies heeft tenzij beperkt door een SCP. Het converteren naar de consolidated billing feature set zou de functionaliteit van Organizations beperken en biedt geen fijnmazige controle over toegangsrechten zoals SCP's dat doen.