Organizacja używa AWS Organizations z główną jednostką organizacyjną (OU) i podrzędną jednostką organizacyjną. SCP głównej jednostki organizacyjnej zezwala na wszystkie działania na wszystkich zasobach. SCP podrzędnej jednostki organizacyjnej zezwala na wszystkie działania DynamoDB i Lambda oraz odmawia wszystkich innych działań. W podrzędnej jednostce organizacyjnej znajduje się konto o nazwie vendor-data. Użytkownik IAM na tym koncie ma politykę IAM AdministratorAccess, ale otrzymuje AccessDenied podczas próby uruchomienia instancji EC2. Jaką zmianę należy wprowadzić, aby użytkownik IAM mógł uruchamiać instancje EC2 na koncie vendor-data?

Poprawna odpowiedź to modyfikacja SCP podrzędnej jednostki organizacyjnej. Polityki kontroli usług (SCP) w AWS Organizations działają jako filtry uprawnień, co oznacza, że uprawnienia muszą być dozwolone zarówno przez SCP, jak i przez politykę IAM przypisaną do użytkownika lub roli. W tym przypadku SCP podrzędnej jednostki organizacyjnej wyraźnie odmawia wszystkich działań poza DynamoDB i Lambda. Mimo że użytkownik IAM ma politykę AdministratorAccess, SCP blokuje działania EC2. Zmiana SCP podrzędnej jednostki organizacyjnej, aby zezwalało na działania EC2, jest konieczna. Dołączenie polityki IAM AmazonEC2FullAccess do użytkownika IAM nie zadziała, ponieważ SCP nadal będzie blokować te działania. Utworzenie nowego SCP i dołączenie go do konta vendor-data lub do głównej jednostki organizacyjnej również nie rozwiąże problemu, ponieważ nadrzędne SCP podrzędnej jednostki organizacyjnej nadal będzie obowiązywać i odmawiać dostępu.