Firma korzysta z AWS Organizations z oddzielnymi jednostkami organizacyjnymi (OU) dla środowisk deweloperskiego i produkcyjnego. Tylko konta AWS w jednostce organizacyjnej produkcyjnej powinny mieć możliwość zapisywania VPC Flow Logs do określonego zasobnika Amazon S3. Jak inżynier bezpieczeństwa powinien skonfigurować warunek, dodając element Condition do polityki zasobnika S3 dla s3:PutObject?

Poprawna odpowiedź to użycie klucza warunku aws:SourceOrgPaths ustawionego na ścieżkę jednostki organizacyjnej (OU) środowiska produkcyjnego. Ten klucz warunku sprawdza, czy żądanie pochodzi z konta AWS znajdującego się w określonej ścieżce OU w AWS Organizations. W ten sposób tylko konta z produkcyjnego OU będą mogły zapisywać logi do zasobnika S3, co zapewnia zgodność z wymaganiami bezpieczeństwa. Opcja z aws:SourceOrgID jest nieprawidłowa, ponieważ sprawdza identyfikator całej organizacji, a nie konkretnego OU. Oznaczałoby to, że każde konto w organizacji mogłoby zapisywać logi. Opcje z aws:ResourceOrgID i aws:ResourceOrgPaths są nieprawidłowe, ponieważ odnoszą się do zasobu docelowego (w tym przypadku zasobnika S3), a nie do źródła żądania. Zasobnik S3 nie jest bezpośrednio powiązany z OU w taki sposób, aby te klucze były skuteczne w tym scenariuszu.