Het bedrijf zal afzonderlijke onderliggende accounts aanmaken in AWS Organizations voor DevOps-teams. AWS CloudTrail is ingeschakeld in alle accounts en levert auditlogs aan een Amazon S3-bucket in een centraal account. De security engineer moet voorkomen dat DevOps-teamleden deze configuratie wijzigen of uitschakelen. Hoe moet dit worden afgedwongen?

Een Service Control Policy (SCP) is de meest effectieve methode om dit af te dwingen. SCP's worden toegepast op Organizational Units (OU's) of individuele accounts binnen AWS Organizations en kunnen machtigingen op accountniveau beperken, inclusief die van de root user. Door een SCP te maken dat expliciet acties weigert die CloudTrail-configuraties wijzigen of uitschakelen, wordt voorkomen dat DevOps-teams, inclusief hun root users, deze kritieke beveiligingsfunctie uitschakelen. IAM-beleid gekoppeld aan de root user is niet mogelijk, omdat de root user standaard alle machtigingen heeft en IAM-beleid niet direct op de root user kan worden toegepast om diens eigen machtigingen te beperken. Een S3-bucketbeleid kan alleen acties op de S3-bucket zelf beperken, niet de CloudTrail-configuratie in het bronaccount. Een IAM-beleid gekoppeld aan een groep is onvoldoende, omdat DevOps-teamleden nog steeds acties kunnen uitvoeren via andere rollen of de root user.