Firma korzysta z AWS Organizations z trzema jednostkami organizacyjnymi (OU) dla obciążeń: Production, Development i Testing. Szablony AWS CloudFormation definiują i wdrażają infrastrukturę na kontach w tych OU. Każda OU ma odrębną politykę kontroli usług (SCP). Aktualizacja stosu CloudFormation kończy się powodzeniem w OU Development i Testing, ale kończy się niepowodzeniem na koncie w OU Production z błędem „insufficient IAM permissions”. Co inżynier bezpieczeństwa powinien zrobić w pierwszej kolejności, aby rozwiązać ten problem?

Przejrzenie AWS CloudTrail na koncie produkcyjnym jest najlepszym pierwszym krokiem, ponieważ CloudTrail rejestruje wszystkie wywołania API wykonane na koncie AWS, w tym te odrzucone z powodu braku uprawnień. Pozwoli to precyzyjnie zidentyfikować, które konkretne akcje API CloudFormation zostały zablokowane i dlaczego, co jest kluczowe do ustalenia przyczyny błędu „insufficient IAM permissions”. Odłączenie wszystkich SCP od OU Production i ponowne uruchomienie aktualizacji stosu jest zbyt drastycznym krokiem, który może naruszyć bezpieczeństwo i nie jest precyzyjnym sposobem diagnozowania problemu. Zweryfikowanie roli wykonawczej CloudFormation jest ważne, ale bez informacji z CloudTrail nie wiadomo, które konkretne uprawnienia są problemem. Uczynienie SCP OU Production identycznymi z tymi w OU Testing może ukryć problem bezpieczeństwa i nie jest rozwiązaniem diagnostycznym.