Het bedrijf heeft de IP-bereiken van het bedrijfsnetwerk gewijzigd. Tien S3-buckets in verschillende accounts beperken de toegang tot het privé-bedrijfsnetwerkbereik. Twee organisatie-eenheden (OU's) moeten hun toegang laten intrekken. Hoe moet u de buckets bijwerken en de toegang voor de twee OU's intrekken?

De correcte optie is om het resource-gebaseerde beleid van elke S3-bucket bij te werken om alleen het nieuwe IP-bereik toe te staan. Dit zorgt ervoor dat alleen verkeer van het nieuwe bedrijfsnetwerk toegang heeft tot de buckets. Vervolgens moet een Service Control Policy (SCP) worden gemaakt dat de toegang tot deze S3-buckets expliciet weigert. Dit SCP moet worden gekoppeld aan de twee organisatie-eenheden (OU's waarvan de toegang moet worden ingetrokken. SCP's zijn effectief voor het beheren van maximale permissies binnen een AWS-organisatie en een expliciete weigering in een SCP overschrijft alle andere toestaande beleidsregels. De eerste optie is onjuist omdat het voorstelt om een SCP te maken dat de toegang weigert, maar het resource-gebaseerde beleid niet correct aanpast om alleen het nieuwe IP-bereik toe te staan. De tweede optie is onjuist omdat het een SCP voorstelt dat toegang verleent, wat niet de meest efficiënte manier is om IP-beperkingen af te dwingen op bucketniveau, en het SCP voor weigering is correct, maar de combinatie is minder optimaal. De vierde optie is onjuist omdat het gebruik van een permissions boundary op de OrganizationAccountAccessRole niet de meest directe of schaalbare methode is om toegang tot specifieke S3-buckets te weigeren voor hele OU's, vergeleken met een SCP.