Przedsiębiorstwo chce, aby deweloperzy kupowali zatwierdzone oprogramowanie innych firm wyłącznie za pośrednictwem Private Marketplace w AWS Marketplace. Firma korzysta z AWS Organizations ze wszystkimi włączonymi funkcjami i ma konto usług współdzielonych w każdej jednostce organizacyjnej (OU) dla menedżerów ds. zamówień. Administracja zamówieniami musi być ograniczona do roli o nazwie procurement-manager-role (którą mogą przyjmować menedżerowie ds. zamówień). Wszyscy inni użytkownicy, grupy, role IAM oraz administratorzy kont muszą mieć odmówiony dostęp administracyjny do Private Marketplace. Jaka jest NAJBARDZIEJ efektywna architektura spełniająca te wymagania?

Ta opcja jest najskuteczniejsza, ponieważ wykorzystuje zasady kontroli usług (SCP) na poziomie głównym AWS Organizations do centralnego zarządzania uprawnieniami w całej organizacji. Pierwszy SCP odmawia wszystkim dostępu administracyjnego do Private Marketplace, z wyjątkiem roli procurement-manager-role, co zapewnia zgodność z wymaganiem, że tylko ta rola może zarządzać zakupami. Drugi SCP zapobiega tworzeniu innych ról o nazwie procurement-manager-role, co chroni przed eskalacją uprawnień. Umieszczenie roli procurement-manager-role na kontach usług współdzielonych, a nie na wszystkich kontach, jest zgodne z architekturą firmy i centralizuje zarządzanie. Pozostałe opcje są mniej skuteczne: Tworzenie ról na wszystkich kontach i dołączanie polityki PowerUserAccess jest zbyt szerokie i nie spełnia wymogu ścisłego ograniczenia dostępu. Użycie AdministratorAccess z granicą uprawnień nie jest wystarczająco restrykcyjne i nie odmawia dostępu innym użytkownikom i administratorom kont. Stosowanie SCP tylko do kont usług współdzielonych nie zapewniłoby odmowy dostępu na wszystkich kontach deweloperów.