Een AWS Organization wordt beheerd door een beveiligingsteam en een DevOps-team; beide gebruiken IAM Identity Center (SSO). De DevOps-groep heeft een permission set genaamd DevOps met AdministratorAccess eraan gekoppeld en toegepast op alle accounts. Het beveiligingsteam heeft een SCP aan de root van de organisatie gekoppeld om te voorkomen dat DevOps toegang krijgt tot IAM Identity Center in het management account, maar DevOps heeft er nog steeds toegang toe. Welke wijziging zal DevOps blokkeren om toegang te krijgen tot IAM Identity Center in het management account?

De correcte oplossing is om de DevOps permission set in IAM Identity Center bij te werken. Een expliciete deny in een permission set heeft voorrang op een allow. Door een deny toe te voegen voor sso: en sso-directory: met een StringEquals-voorwaarde die aws:SourceAccount vergelijkt met de account-ID van het management account, wordt de toegang tot IAM Identity Center specifiek voor dat account geblokkeerd voor de DevOps-groep. De SCP kan daarna verwijderd worden, omdat de permission set dit afdwingt. De andere opties zijn incorrect: Een SCP op een OU verplaatsen heeft geen effect, omdat SCP's op de root al van toepassing zijn op alle accounts, inclusief het management account. Een SCP kan niet verwijzen naar een specifieke rol-ARN binnen een account, omdat SCP's op organisatieniveau werken en niet op individuele IAM-principals. Het aanmaken van een nieuwe permission set met een deny voor SSO en deze toewijzen aan de DevOps-groep zou werken, maar de vraag impliceert dat de bestaande DevOps permission set moet worden aangepast om de functionaliteit te behouden voor andere accounts, wat deze optie niet doet.