Администратору безопасности необходимо ограничить использование учетных данных root user в дочерних аккаунтах в организации AWS Organizations. Все функции включены. Управляющий аккаунт используется только для выставления счетов и администрирования, а не для операций. Как администратор может ограничить использование root user в дочерних аккаунтах по всей организации?

Правильный ответ — создание организационного подразделения (OU), применение политики управления сервисами (SCP), ограничивающей использование root user, и добавление всех дочерних аккаунтов в этот OU. SCP — это мощный инструмент в AWS Organizations, позволяющий централизованно управлять разрешениями для всех аккаунтов в OU. Она может явно запретить действия, выполняемые root user, тем самым ограничивая его использование. Отключение root user на уровне организации невозможно, так как root user является неотъемлемой частью каждого аккаунта AWS. Настройка политик IAM для ограничения root user неэффективна, поскольку root user всегда может отменить любые политики IAM, примененные к нему. Интеграция CloudTrail с CloudWatch Logs для мониторинга использования root user является хорошей практикой безопасности, но она не предотвращает использование root user, а лишь уведомляет о нем.