Firma używa AWS Organizations i wdraża wszystkie zasoby (w tym polityki IAM i S3) za pośrednictwem CloudFormation z CodeCommit. Deweloperzy na niektórych kontach ostatnio nie mogą uzyskać dostępu do zasobnika S3. Do zasobnika dołączona jest polityka (nie pokazana tutaj). Co powinien zrobić inżynier DevOps, aby rozwiązać problem z dostępem?

Poprawna odpowiedź uwzględnia hierarchię polityk bezpieczeństwa w AWS Organizations. Zarówno Service Control Policies (SCP), jak i IAM permissions boundaries mogą ograniczać dostęp, nawet jeśli polityka zasobnika S3 jest poprawna. SCP działają na poziomie konta lub jednostki organizacyjnej, a permissions boundaries na poziomie użytkownika/roli IAM. Ponieważ zasoby są wdrażane przez CloudFormation z CodeCommit, wszelkie zmiany w SCP lub permissions boundaries również powinny być zarządzane w ten sposób, aby zachować spójność infrastruktury jako kodu. Pozostałe opcje są nieprawidłowe, ponieważ: Modyfikowanie polityki zasobnika S3 i wyłączanie S3 Block Public Access nie rozwiązuje problemu, jeśli blokada pochodzi z SCP lub permissions boundaries. Dodawanie aws:SourceAccount jest dobrym pomysłem, ale nie jest główną przyczyną problemu. Sprawdzanie tylko IAM permissions boundaries pomija potencjalny wpływ SCP. Użycie AWS Config do cofania zmian jest reaktywne, a nie proaktywne rozwiązanie problemu z dostępem. Tworzenie SCP blokującego modyfikację zasobów IAM nie rozwiąże problemu z dostępem do zasobnika S3, a wręcz może pogorszyć sytuację, uniemożliwiając deweloperom zarządzanie swoimi uprawnieniami.