Administratorzy na wielu kontach członkowskich w AWS Organization — w tym ci, którzy mają poświadczenia użytkownika root dla swoich kont — muszą mieć uniemożliwione korzystanie z Amazon DynamoDB, zachowując jednocześnie dostęp do innych usług AWS. Jaka metoda wymusi to ograniczenie w całej organizacji?

Poprawna odpowiedź to utworzenie Service Control Policy (SCP) na koncie zarządzającym, która odmawia wszystkich akcji DynamoDB i dołączenie jej do roota organizacji. SCP to potężne narzędzie w AWS Organizations, które pozwala centralnie zarządzać uprawnieniami we wszystkich kontach członkowskich, w tym dla użytkownika root. Dołączenie SCP do roota organizacji gwarantuje, że polityka będzie obowiązywać we wszystkich kontach członkowskich, nadpisując wszelkie lokalne polityki IAM, w tym te dla użytkownika root. Pozostałe opcje są nieprawidłowe: Dołączanie polityk IAM do każdego konta członkowskiego jest pracochłonne i nie gwarantuje zablokowania użytkownika root, ponieważ użytkownik root może usunąć takie polityki. Odmowa zarządzanej polityki AmazonDynamoDBFullAccess nie jest wystarczająca, ponieważ użytkownicy mogą mieć dostęp do DynamoDB poprzez inne polityki. Usuwanie domyślnych SCP i zastępowanie ich niestandardowymi może prowadzić do niezamierzonych konsekwencji i nie jest zalecaną praktyką.