Organizacja posiada wiele kont AWS w ramach AWS Organizations. Administratorzy używali poświadczeń użytkownika root na kontach członkowskich, a firma chce zablokować wszelkie działania użytkownika root na zasobach EC2 na wszystkich kontach członkowskich. Jaki jest odpowiedni sposób, aby administrator SysOps centralnie wymusił to wymaganie?

Prawidłowa odpowiedź to utworzenie polityki kontroli usług (SCP) z konta zarządzającego organizacji. SCP są potężnym narzędziem w AWS Organizations, które pozwala centralnie zarządzać uprawnieniami we wszystkich kontach członkowskich. Tworząc SCP, która jawnie odmawia użytkownikowi root wykonywania działań EC2, można skutecznie zablokować tę aktywność na wszystkich kontach członkowskich bez konieczności ręcznej konfiguracji na każdym z nich. Dołączenie polityki IAM opartej na tożsamości na każdym koncie członkowskim jest nieefektywne i trudne do zarządzania w dużej organizacji. AWS Config służy do oceny zgodności i audytu, a nie do aktywnego blokowania działań. Amazon Inspector to usługa do wykrywania luk w zabezpieczeniach, a nie do egzekwowania polityk dostępu.