Een bedrijf gebruikt meerdere AWS-accounts onder AWS Organizations. Er is een OU voor productie en een andere voor ontwikkeling. Bedrijfsregels staan ontwikkelaars alleen toe om vooraf goedgekeurde AWS-services te gebruiken in het productieaccount. Wat is de meest operationeel efficiënte manier om deze beperking voor het productieaccount af te dwingen?

De meest operationeel efficiënte manier om deze beperking af te dwingen, is door een Service Control Policy (SCP) te maken en deze te koppelen aan de productie-OU. SCP's zijn een functie van AWS Organizations waarmee u de maximale beschikbare permissies voor alle accounts in een OU kunt beheren. Door een SCP aan de productie-OU te koppelen, worden de vooraf goedgekeurde AWS-services automatisch afgedwongen voor alle accounts binnen die OU, inclusief het productieaccount, zonder dat u individuele IAM-beleidsregels in elk account hoeft te beheren. Het maken van een door de klant beheerd IAM-beleid en dit koppelen aan alle gebruikers in het productieaccount is minder efficiënt, omdat dit handmatig beheer vereist voor elke gebruiker en elk nieuw account. Een IAM-functiebeleid is geen standaard AWS-concept. Het afdwingen van een IAM-beleid via Amazon API Gateway is niet de juiste methode om servicebeperkingen op accountniveau af te dwingen; API Gateway richt zich op het beheer van API-toegang, niet op accountbrede servicebeperkingen.