Het bedrijf is georganiseerd in teams, elk met een eigen AWS-account binnen een AWS Organizations-organisatie. Teams moeten volledige admin-rechten behouden in hun eigen accounts, maar ze mogen alleen AWS-services gebruiken die zijn goedgekeurd via een aanvraag- en goedkeuringsproces. Hoe moet een DevOps engineer dit beleid afdwingen voor alle accounts?

De juiste aanpak is om een Service Control Policy (SCP) te maken die expliciet alleen de goedgekeurde AWS-services toestaat en deze aan de root OU te koppelen. SCP's zijn een krachtige manier om de maximale permissies voor alle accounts in een organisatie te beheren, inclusief de root-account. Door een "allow-list" SCP te gebruiken, worden alle services die niet expliciet zijn toegestaan, automatisch geweigerd, wat zorgt voor een sterke afdwinging van het beleid. Het verwijderen van de standaard FullAWSAccess SCP is cruciaal, omdat deze anders de restricties van de nieuwe SCP zou opheffen. Andere opties zijn minder effectief: IAM policies in elk account implementeren met CloudFormation StackSets is beheerintensief en kan omzeild worden door admin-gebruikers. AWS Config controleert alleen de naleving, maar dwingt het beleid niet af. AWS Control Tower en IAM Identity Center zijn nuttig voor accountprovisioning en toegangsbeheer, maar SCP's zijn de meest effectieve manier om servicebeperkingen op organisatieniveau af te dwingen. Het toevoegen van deny policies aan gebruikersrollen is niet schaalbaar en kan omzeild worden door admin-gebruikers. Een SCP koppelen aan een nieuwe top-level OU is minder effectief dan aan de root OU, omdat accounts buiten die OU niet worden beïnvloed. Bovendien is een "deny-list" SCP moeilijker te onderhouden en minder veilig dan een "allow-list" SCP.