Firma używa wielu kont AWS do obsługi obciążeń produkcyjnych i nieprodukcyjnych w zespołach DevOps. Chcą centralnie ograniczyć dostęp do niewielkiego zestawu usług AWS, których zespoły DevOps nie używają, jednocześnie zezwalając na dostęp do usług obecnie używanych. Zaprosili już wszystkie konta do AWS Organizations. Chcą również zarządzać grupami kont razem. Jaką kombinację działań powinien podjąć architekt rozwiązań? (Wybierz trzy.)

Przyjęcie strategii listy blokowania (jawne odrzucenie) dla usług jest najlepszym podejściem, ponieważ pozwala na zablokowanie tylko tych usług, które nie są używane, jednocześnie zezwalając na dostęp do wszystkich innych. Użycie IAM Access Advisor jest kluczowe do zidentyfikowania, które usługi są faktycznie używane przez zespoły DevOps, co pozwala na precyzyjne określenie, które usługi należy zablokować. Utworzenie jednostek organizacyjnych (OU) i przeniesienie kont członkowskich do odpowiednich OU umożliwia zastosowanie polityk kontroli usług (SCP) do grup kont, co ułatwia zarządzanie i egzekwowanie polityk bezpieczeństwa na dużą skalę. Usunięcie domyślnego SCP FullAWSAccess nie jest zalecane, ponieważ mogłoby to nieumyślnie zablokować dostęp do wszystkich usług. Raporty AWS Trusted Advisor nie są idealne do tego celu, ponieważ skupiają się na optymalizacji kosztów, wydajności i bezpieczeństwa, a nie na szczegółowym śledzeniu użycia usług przez podmioty zabezpieczeń. Usunięcie domyślnego SCP DenyAWSAccess nie jest standardową praktyką i nie pomogłoby w osiągnięciu celu.