Een bedrijf gebruikt AWS Organizations om meerdere AWS-accounts voor verschillende afdelingen te beheren. Het managementaccount is eigenaar van een Amazon S3-bucket die projectrapporten bevat. Het bedrijf wil de toegang tot deze S3-bucket beperken tot alleen gebruikers van accounts binnen de AWS Organization. Welke oplossing voldoet aan deze vereiste met de minste operationele overhead?

De aws:PrincipalOrgID globale conditiesleutel in een S3-bucketbeleid is de meest efficiënte manier om toegang te beperken tot principals (gebruikers of rollen) binnen een specifieke AWS Organization. Door de organisatie-ID op te geven, wordt elke toegangspoging van buiten de organisatie automatisch geweigerd, wat zorgt voor een sterke beveiliging met minimale operationele overhead. Het maken van OU's en het gebruik van aws:PrincipalOrgPaths is complexer en niet direct gericht op het beperken van toegang tot de hele organisatie. CloudTrail monitoren en handmatig beleid bijwerken is reactief en foutgevoelig. Het taggen van gebruikers en het gebruik van aws:PrincipalTag vereist uitgebreid beheer van tags voor elke gebruiker, wat de operationele overhead aanzienlijk verhoogt en minder robuust is dan een organisatiebrede beleidsregel.