Administrator bezpieczeństwa musi ograniczyć użycie poświadczeń użytkownika root na kontach członkowskich w organizacji AWS Organizations. Wszystkie funkcje są włączone. Konto zarządzające jest używane wyłącznie do rozliczeń i administracji, a nie do operacji. W jaki sposób administrator może ograniczyć użycie użytkownika root na kontach członkowskich w całej organizacji?

Prawidłowa odpowiedź to utworzenie jednostki organizacyjnej (OU) i zastosowanie polityki kontroli usług (SCP). SCP to potężne narzędzie w AWS Organizations, które pozwala centralnie zarządzać uprawnieniami w całej organizacji, w tym ograniczać działania użytkownika root. Dołączenie SCP do OU, a następnie umieszczenie wszystkich kont członkowskich w tej OU, zapewnia, że polityka jest egzekwowana na wszystkich tych kontach. Wyłączenie użytkownika root w katalogu głównym organizacji nie jest możliwe, ponieważ użytkownik root jest domyślnie obecny na każdym koncie AWS i nie można go wyłączyć. Konfigurowanie polityk użytkowników IAM na każdym koncie członkowskim jest nieefektywne i nie skaluje się w dużej organizacji. Integracja CloudTrail z CloudWatch Logs i tworzenie filtrów metryk pozwala monitorować użycie użytkownika root, ale nie ogranicza go.