Een bedrijf moet voorkomen dat Amazon S3-objecten worden gedeeld met IAM-principals die zich buiten de AWS Organizations-organisatie bevinden. Het bedrijf maakt een service control policy (SCP) om deze vereiste af te dwingen en heeft S3 Block Public Access al ingeschakeld op alle buckets. Wat moet de SCP doen om aan de vereiste te voldoen?

De correcte SCP-strategie is om toegang te weigeren (Deny) voor alle S3-acties (S3:) wanneer de organisatie-ID van de resource (aws:ResourceOrgID) niet overeenkomt met de organisatie-ID van de principal (aws:PrincipalOrgID). Dit zorgt ervoor dat alleen principals binnen dezelfde AWS Organizations-organisatie toegang hebben tot de S3-objecten. De StringNotEquals operator is cruciaal omdat het de actie weigert als de twee waarden verschillen, wat betekent dat toegang van buiten de organisatie wordt geblokkeerd. De andere opties zijn incorrect: Het weigeren van S3:PutAccountPublicAccessBlock is niet voldoende, omdat dit alleen voorkomt dat de Block Public Access-instellingen worden gewijzigd, maar het reguleert niet de toegang tot objecten zelf. Een Allow statement met StringNotEquals zou het tegenovergestelde effect hebben, namelijk het toestaan van toegang van buiten de organisatie. SCP's werken standaard als deny-by-default voor acties die niet expliciet zijn toegestaan. Het gebruik van StringLike op aws:PrincipalArn om specifieke externe ARNs te blokkeren is inefficiënt en onpraktisch, omdat het onmogelijk is om alle potentiële externe principals te identificeren en op te nemen. De aws:PrincipalOrgID context key biedt een veel schaalbaardere en robuustere oplossing.