Een bedrijf met veel member accounts in AWS Organizations maakt zich zorgen over mogelijk misbruik van root user credentials. Het bedrijf wil ervoor zorgen dat zelfs als root credentials gecompromitteerd worden, het account beschermd blijft. Welke oplossing voldoet aan deze vereiste?

De correcte optie is het gebruik van Service Control Policies (SCPs) om service toegang voor de root user te blokkeren. SCPs zijn een functie van AWS Organizations waarmee je permissies kunt beheren voor alle accounts binnen de organisatie, inclusief de root user. Door een SCP te implementeren dat specifieke acties of services voor de root user weigert, zelfs als de root credentials gecompromitteerd zijn, kan de impact van een inbreuk aanzienlijk worden beperkt. Het verwijderen van het wachtwoord van de root user is geen optie, omdat de root user altijd een wachtwoord moet hebben om in te loggen. Het verwijderen van alle root access keys is een goede beveiligingspraktijk, maar dit voorkomt niet dat een gecompromitteerd wachtwoord wordt gebruikt voor console-toegang. Een Amazon EventBridge regel om root user API-activiteit te detecteren is nuttig voor monitoring en auditing, maar het voorkomt de actie zelf niet; het waarschuwt alleen achteraf.