Organizacja AWS jest zarządzana przez zespół bezpieczeństwa i zespół DevOps; oba zespoły używają IAM Identity Center (SSO). Grupa DevOps ma zestaw uprawnień o nazwie DevOps z dołączonym uprawnieniem AdministratorAccess, zastosowanym do wszystkich kont. Zespół bezpieczeństwa dołączył SCP na poziomie roota organizacji, aby uniemożliwić DevOps dostęp do IAM Identity Center na koncie zarządzającym, ale DevOps nadal ma do niego dostęp. Jaka zmiana zablokuje DevOps dostęp do IAM Identity Center na koncie zarządzającym?

Prawidłowa odpowiedź polega na aktualizacji zestawu uprawnień DevOps w IAM Identity Center. Dodanie jawnego odrzucenia dla akcji sso: i sso-directory: z warunkiem StringEquals porównującym aws:SourceAccount z ID konta zarządzającego uniemożliwi grupie DevOps dostęp do IAM Identity Center tylko na koncie zarządzającym, zachowując pełny dostęp na innych kontach. SCP na poziomie roota nie działa, ponieważ uprawnienia AdministratorAccess w zestawie uprawnień DevOps są oceniane po SCP, a SCP nie może odwoływać się do konkretnych ról IAM Identity Center w taki sposób, aby selektywnie blokować dostęp. Pozostałe opcje są nieprawidłowe, ponieważ tworzenie nowej jednostki organizacyjnej nie rozwiązuje problemu hierarchii oceny zasad, a modyfikacja SCP w celu odwołania się do ARN roli jest nieskuteczna, ponieważ SCP działają na poziomie konta, a nie na poziomie ról IAM Identity Center. Tworzenie nowego zestawu uprawnień z pełnym odrzuceniem dla sso: i sso-directory: zablokowałoby dostęp do IAM Identity Center na wszystkich kontach, a nie tylko na koncie zarządzającym.