Konto, które ma mniej niż rok, znajduje się w jednostce organizacyjnej (OU) AWS Organizations. Firma chce mieć strukturę Organizations i SCP, które zezwalają tylko na usługi aktualnie używane na tym koncie. IAM Access Analyzer zostanie użyty do określenia aktywnych usług. Jakie kroki pozwolą spełnić to wymaganie?

Poprawna odpowiedź tworzy nowe SCP zezwalające tylko na zidentyfikowane usługi, przenosi konto do nowej jednostki organizacyjnej (OU), dołącza to SCP do OU i odłącza domyślne SCP FullAWSAccess. Jest to zgodne z najlepszymi praktykami bezpieczeństwa, stosując zasadę najmniejszych uprawnień. Przeniesienie konta do nowej OU z dedykowanym SCP zapewnia izolację i precyzyjną kontrolę. Odłączenie FullAWSAccess jest kluczowe, aby nowe, restrykcyjne SCP mogło działać efektywnie. Opcja z odmawianiem dostępu jest mniej efektywna, ponieważ lista dozwolonych usług jest zazwyczaj krótsza niż lista zabronionych. Dołączenie SCP do elementu głównego wpłynęłoby na wszystkie konta, co jest niezgodne z wymaganiem kontroli tylko dla jednego konta. Dołączenie SCP do konta zarządzającego zamiast do OU nie zapewniłoby pożądanej kontroli nad kontem docelowym.