Firma jest zorganizowana w zespoły, z których każdy posiada konto AWS w ramach organizacji AWS Organizations. Zespoły muszą zachować pełne uprawnienia administratora na swoich kontach, ale mogą używać tylko tych usług AWS, które zostały zatwierdzone w procesie zgłaszania i zatwierdzania. W jaki sposób inżynier DevOps powinien egzekwować tę politykę na wszystkich kontach?

Poprawna odpowiedź to utworzenie polityki kontroli usług (SCP), która jawnie zezwala tylko na zatwierdzone usługi. Dołączenie tej SCP do głównej jednostki organizacyjnej (OU) i usunięcie domyślnej SCP FullAWSAccess zapewni, że wszystkie konta w organizacji będą mogły używać wyłącznie zatwierdzonych usług, jednocześnie zachowując pełne uprawnienia administratora w ramach tych usług. SCP są skutecznym sposobem na egzekwowanie uprawnień na poziomie organizacji. Pozostałe opcje są mniej efektywne lub nie spełniają wszystkich wymagań: Użycie AWS CloudFormation StackSets z politykami IAM wymagałoby zarządzania politykami na każdym koncie i weryfikacji za pomocą AWS Config, co jest bardziej złożone i podatne na błędy niż SCP. AWS Control Tower i IAM Identity Center zarządzają dostępem użytkowników, ale nie egzekwują ograniczeń na poziomie usług dla konta. Dołączenie SCP odmawiającej dostępu do niedozwolonych usług jest mniej bezpieczne niż jawne zezwalanie tylko na zatwierdzone usługi, ponieważ wymagałoby aktualizacji za każdym razem, gdy pojawi się nowa usługa do zablokowania.