Een AWS Organization heeft één OU genaamd Production die alle accounts bevat. Root-level deny-list SCP's worden gebruikt om de toegang tot bepaalde services te beperken. Een nieuw uitgenodigd account van een overgenomen bedrijfseenheid kan bestaande AWS Config-regels niet bijwerken om te voldoen aan het bedrijfsbeleid. Welke aanpak stelt de beheerders van het nieuwe account in staat om de vereiste wijzigingen nu aan te brengen, terwijl de bestaande beleidsregels behouden en afgedwongen blijven met minimale doorlopende onderhoudsinspanningen?

De juiste aanpak is om een tijdelijke Onboarding OU te creëren voor het nieuwe account en daar een SCP aan te koppelen die AWS Config-acties toestaat. Door de bestaande root SCP's te verplaatsen naar de Production OU, worden deze niet toegepast op de Onboarding OU, waardoor het nieuwe account de benodigde wijzigingen kan aanbrengen. Na voltooiing kan het account eenvoudig naar de Production OU worden verplaatst, waar de deny-list SCP's weer van kracht worden. Dit minimaliseert onderhoud en behoudt de bestaande beleidsregels. De eerste optie (verwijderen van deny-list SCP's en gebruik van Service Catalog) is te ingrijpend en vereist veel onderhoud. De tweede optie (tijdelijke Onboarding OU met SCP die expliciet toestaat) werkt niet, omdat de root deny-list SCP's nog steeds van toepassing zijn. De derde optie (converteren naar allow-list SCP's en tijdelijk SCP voor root) is complex en verhoogt de onderhoudsinspanningen aanzienlijk.