Een bedrijf beheert accounts met AWS Organizations en heeft een SCP op de root om het delen van resources met externe accounts te voorkomen. Het AWS-account van het marketingteam moet resources kunnen delen met externe accounts, maar alle andere accounts moeten beperkt blijven. Alle accounts bevinden zich in dezelfde OU. Welke oplossing voldoet aan deze vereisten?

De correcte optie is om de bestaande SCP aan te passen met een Condition die het marketingteamaccount uitsluit. SCP's (Service Control Policies) worden hiërarchisch toegepast. Een SCP op de root is van toepassing op alle onderliggende accounts. Om een uitzondering te maken voor één account, moet de bestaande SCP worden aangepast om dit specifieke account uit te sluiten van de beperking. Dit kan door een Condition te gebruiken die controleert op de aws:PrincipalOrgID of aws:SourceAccount van het marketingteamaccount en de deny-actie alleen toepast als deze niet overeenkomt met het marketingaccount. Een nieuwe SCP in het marketingteamaccount die expliciet delen toestaat, werkt niet, omdat een deny-statement in een hogere SCP altijd voorrang heeft. Het toevoegen van een Allow-statement aan de bestaande SCP is ook onvoldoende, omdat deny-statements in SCP's altijd voorrang hebben op allow-statements. IAM permissions boundaries zijn alleen van toepassing op IAM-principals binnen een account en kunnen de restricties van een SCP op organisatieniveau niet overschrijven.