Een beveiligingsteam wil de toegang tot specifieke services of acties beperken voor alle AWS-accounts in een grote AWS Organizations-organisatie. De oplossing moet schaalbaar zijn en één centrale plek bieden voor het beheren van permissies. Wat moet een solutions architect doen?

Een Service Control Policy (SCP) in AWS Organizations is de juiste oplossing omdat het een centrale manier biedt om de maximale beschikbare permissies voor alle accounts binnen een organisatie te beheren. Door een SCP aan de root Organizational Unit (OU) te koppelen, worden de gedefinieerde restricties automatisch toegepast op alle accounts in de organisatie, inclusief toekomstige accounts, wat zorgt voor schaalbaarheid en een uniforme beveiligingsstandaard. ACL's (Access Control Lists) zijn voor netwerkverkeer, niet voor service- of actietoegang op organisatieniveau. Security groups regelen netwerktoegang voor EC2-instances en zijn niet geschikt voor het beperken van service- of actietoegang over meerdere accounts heen. Cross-account roles zijn bedoeld voor het delegeren van permissies tussen accounts, niet voor het centraal afdwingen van restricties voor alle accounts binnen een organisatie.