Администраторам нескольких дочерних аккаунтов в AWS Organization, включая тех, у кого есть корневые учетные данные для своих аккаунтов, необходимо запретить использование Amazon DynamoDB, при этом они должны сохранить доступ к другим сервисам AWS. Какой метод обеспечит это ограничение в масштабе всей организации?

Service Control Policies (SCP) — это мощный инструмент AWS Organizations для централизованного управления разрешениями в нескольких аккаунтах. Прикрепление SCP к корню организации гарантирует, что она будет применяться ко всем дочерним аккаунтам, включая их корневых пользователей, эффективно запрещая действия DynamoDB в масштабе всей организации. Прикрепление политик IAM в каждом дочернем аккаунте не является масштабируемым решением и может быть обойдено корневыми пользователями аккаунтов. Удаление управляемой политики AmazonDynamoDBFullAccess не запрещает доступ, а лишь отменяет предоставление полного доступа; другие политики или прямые разрешения все равно могут разрешить доступ. Удаление SCP по умолчанию не требуется, так как можно добавить новую SCP с запретом, которая будет иметь приоритет.