Firma korzysta z wielu kont AWS w ramach AWS Organizations. Istnieje jednostka organizacyjna (OU) dla środowiska produkcyjnego i inna dla środowiska deweloperskiego. Zasady korporacyjne zezwalają deweloperom na korzystanie wyłącznie z zatwierdzonych usług AWS na koncie produkcyjnym. Jaki jest najbardziej efektywny operacyjnie sposób egzekwowania tego ograniczenia dla konta produkcyjnego?

Prawidłowa odpowiedź to utworzenie polityki kontroli usług (SCP) i dołączenie jej do jednostki organizacyjnej (OU) środowiska produkcyjnego. SCP to potężne narzędzie w AWS Organizations, które pozwala centralnie zarządzać uprawnieniami we wszystkich kontach w OU. Dołączenie SCP do OU środowiska produkcyjnego zapewni, że wszystkie konta w tej OU będą przestrzegać zdefiniowanych ograniczeń, skutecznie blokując dostęp do niezatwierdzonych usług AWS dla wszystkich użytkowników i ról na tych kontach. Pozostałe opcje są mniej efektywne operacyjnie: Tworzenie zarządzanej przez klienta polityki IAM i dołączanie jej do wszystkich użytkowników na koncie produkcyjnym wymagałoby ręcznego zarządzania politykami dla każdego użytkownika, co jest skalowalne i podatne na błędy. Tworzenie polityki IAM dla funkcji pracy i stosowanie jej do wszystkich użytkowników w OU środowiska produkcyjnego nie jest możliwe, ponieważ polityki IAM są stosowane do tożsamości (użytkowników, ról), a nie bezpośrednio do OU. Wymuszanie polityki IAM za pośrednictwem Amazon API Gateway jest nieodpowiednie, ponieważ API Gateway służy do zarządzania dostępem do interfejsów API, a nie do egzekwowania ogólnych ograniczeń usług AWS na poziomie konta.