Firma używa AWS Organizations do zarządzania wieloma kontami AWS dla różnych działów. Konto zarządzające jest właścicielem zasobnika Amazon S3, który zawiera raporty projektów. Firma chce ograniczyć dostęp do tego zasobnika S3 tylko do użytkowników kont w ramach AWS Organization. Które rozwiązanie spełnia ten wymóg przy najmniejszym nakładzie operacyjnym?

Dodanie globalnego klucza warunku aws:PrincipalOrgID do polityki zasobnika S3, odwołującego się do ID organizacji, jest najprostszym i najbardziej efektywnym operacyjnie rozwiązaniem. Ten warunek automatycznie ogranicza dostęp do zasobnika tylko do podmiotów (użytkowników IAM, ról) należących do określonej organizacji AWS Organizations, bez konieczności ręcznego zarządzania listami kont. Pozostałe opcje są mniej optymalne: Użycie aws:PrincipalOrgPaths wymagałoby zarządzania ścieżkami OU, co jest bardziej złożone i podatne na błędy przy zmianach struktury organizacji. Monitorowanie zdarzeń CloudTrail i ręczna aktualizacja polityki jest rozwiązaniem reaktywnym, bardzo złożonym i nieefektywnym operacyjnie. Tagowanie użytkowników i użycie aws:PrincipalTag wymagałoby zarządzania tagami dla każdego użytkownika, co jest pracochłonne i trudne do skalowania w dużej organizacji.