Een bedrijf gebruikt AWS Organizations met drie workload organizational units (OU's): Production, Development en Testing. AWS CloudFormation templates definiëren en implementeren infrastructuur in accounts binnen deze OU's. Elke OU heeft een afzonderlijk service control policy (SCP). Een CloudFormation stack update slaagt in de Development en Testing OU's, maar mislukt in een account in de Production OU met een "insufficient IAM permissions"-fout. Wat moet de security engineer als eerste doen om dit probleem op te lossen?

De "insufficient IAM permissions"-fout duidt op een probleem met toegangsrechten. CloudTrail logt alle API-aanroepen en de resultaten daarvan, inclusief geweigerde aanroepen en de redenen daarvoor. Door CloudTrail te controleren in het specifieke Production-account, kan de security engineer precies zien welke specifieke API-aanroep is geweigerd en waarom, wat essentieel is voor een gerichte oplossing. Het loskoppelen van SCP's is te ingrijpend en kan onbedoelde beveiligingsrisico's introduceren. Het controleren van de CloudFormation execution role is een goede tweede stap, maar CloudTrail geeft direct inzicht in de geweigerde actie. Het identiek maken van SCP's aan de Testing OU is een aanname dat de SCP's de oorzaak zijn en negeert de mogelijkheid van andere permissieproblemen.