Firma zmieniła zakresy adresów IP sieci korporacyjnej. Dziesięć zasobników S3 w różnych kontach ogranicza dostęp do zakresu prywatnej sieci korporacyjnej. Dwie jednostki organizacyjne (OU) muszą mieć cofnięty dostęp. Jak należy zaktualizować zasobniki i cofnąć dostęp dla tych dwóch OU?

Aby ograniczyć dostęp do zasobników S3 do nowego zakresu IP, należy zaktualizować politykę zasobnika (Bucket Policy) na każdym z dziesięciu zasobników. Polityka zasobnika jest najlepszym miejscem do kontrolowania dostępu na poziomie zasobu, w tym filtrowania adresów IP. Aby cofnąć dostęp dla dwóch jednostek organizacyjnych (OU), należy użyć polityk kontroli usług (SCP). SCP to potężne narzędzie do zarządzania uprawnieniami w całej organizacji AWS. Utworzenie SCP, które jawnie odmawia dostępu do tych konkretnych zasobników S3 i dołączenie go do dwóch OU, zapewni, że żadne konto w tych OU nie będzie miało dostępu, niezależnie od uprawnień IAM na poziomie konta. Opcje niepoprawne: Pierwsza opcja jest prawie poprawna, ale nie wspomina o utworzeniu nowego SCP, co jest ważne dla jasności i zarządzania. Druga opcja sugeruje utworzenie SCP do zezwalania na zakres IP, co jest mniej efektywne niż użycie polityki zasobnika dla tego celu. Czwarta opcja błędnie sugeruje użycie granic uprawnień (permissions boundary) na OrganizationAccountAccessRole. Granice uprawnień ograniczają maksymalne uprawnienia, ale nie są przeznaczone do jawnego odmawiania dostępu do konkretnych zasobów w całej OU.