Een zorgbedrijf heeft meerdere AWS-accounts in een AWS Organizations-organisatie. Het bedrijf slaat gevoelige patiëntgegevens op in Amazon S3 en moet voorkomen dat gebruikers S3-buckets in alle accounts verwijderen. Wat is de meest schaalbare manier om deze controle af te dwingen?

Service Control Policies (SCPs) zijn de meest schaalbare manier om deze controle af te dwingen. SCP's worden toegepast op AWS Organizations-eenheden (OU's) of op de root van de organisatie, waardoor ze centraal kunnen worden beheerd en automatisch worden toegepast op alle accounts binnen die OU of organisatie. Dit voorkomt dat gebruikers in elk account S3-buckets kunnen verwijderen, wat voldoet aan de vereiste. IAM permissions boundaries zijn accountspecifiek en zouden in elk afzonderlijk account moeten worden geconfigureerd, wat niet schaalbaar is voor meerdere accounts. S3 bucket policies zijn ook account- en bucketspecifiek, en zouden voor elke S3-bucket in elk account moeten worden geconfigureerd, wat eveneens niet schaalbaar is. Tag policies worden gebruikt om de consistentie van tags af te dwingen, niet om acties zoals het verwijderen van S3-buckets te voorkomen.