Organizacja posiada 10 kont AWS w AWS Organizations. Na każdym koncie działa AWS Config i każde konto należy do jednostki organizacyjnej (OU) Prod lub NonProd. Każde konto ma regułę EventBridge, która powiadamia temat SNS, gdy tworzona jest reguła ruchu przychodzącego grupy bezpieczeństwa EC2 ze źródłem 0.0.0.0/0; zespół bezpieczeństwa subskrybuje ten temat SNS. Dla wszystkich kont w jednostce organizacyjnej NonProd zespół bezpieczeństwa musi usunąć możliwość tworzenia reguł ruchu przychodzącego grupy bezpieczeństwa, które zezwalają na 0.0.0.0/0. Które podejście osiągnie to z NAJMNIEJSZYM obciążeniem operacyjnym?

Prawidłowa odpowiedź to utworzenie polityki kontroli usług (SCP), która odmawia uprawnienia ec2:AuthorizeSecurityGroupIngress, gdy aws:SourceIp równa się 0.0.0.0/0, i zastosowanie jej do jednostki organizacyjnej NonProd. SCP to najmniej obciążające operacyjnie rozwiązanie, ponieważ pozwala centralnie zarządzać uprawnieniami dla wszystkich kont w jednostce organizacyjnej, zapobiegając tworzeniu niezgodnych reguł. Pozostałe opcje są mniej optymalne: Zmiana reguły EventBridge i funkcji Lambda wymagałaby reaktywnego usuwania reguł, a nie proaktywnego zapobiegania, co jest bardziej złożone i generuje więcej obciążenia operacyjnego. Dołączenie zarządzanej reguły AWS Config vpc-sg-open-only-to-authorized-ports jest rozwiązaniem reaktywnym, które tylko wykrywa niezgodność, a nie zapobiega jej, i wymagałoby dodatkowych działań naprawczych. SCP zezwalające na ec2:AuthorizeSecurityGroupIngress tylko wtedy, gdy aws:SourceIp nie jest 0.0.0.0/0, jest składniowo nieprawidłowe dla tego przypadku użycia, ponieważ warunek aws:SourceIp jest używany z operatorem StringNotEquals lub StringEquals do odmowy, a nie zezwalania.