Een bedrijf richt een multi-accountomgeving in met AWS Organizations en AWS IAM Identity Center (AWS Single Sign-On). Het bedrijf moet ontwikkelingsteams beperken tot specifieke AWS-regio's en elk account beperken tot alleen goedgekeurde AWS-services, met de minste operationele overhead. Welke oplossing voldoet aan deze vereisten?

Service control policies (SCPs) zijn de juiste oplossing omdat ze op organisatieniveau worden toegepast en de maximale beschikbare machtigingen voor alle accounts binnen een organisatie definiëren. Dit voldoet aan de vereiste om elk account te beperken tot goedgekeurde AWS-services en specifieke regio's met de minste operationele overhead. SCP's kunnen worden gebruikt om toegang tot regio's en services expliciet te weigeren of toe te staan. Incorrecte opties: IAM Identity Center service-linked roles zijn niet geschikt voor het afdwingen van organisatiebrede beleidsregels voor alle accounts. Ze zijn specifiek voor de service waaraan ze zijn gekoppeld. AWS Security Token Service (STS) uitschakelen in regio's is geen schaalbare of flexibele oplossing en kan onbedoelde neveneffecten hebben op andere services die STS gebruiken. Aangepaste IAM Identity Center identity-based policies per account creëren is bewerkelijk en verhoogt de operationele overhead aanzienlijk, wat in strijd is met de vereiste. SCP's bieden een centralere en efficiëntere manier om dit te beheren.