Компания использует AWS Organizations и развертывает все ресурсы (включая политики IAM и S3) через CloudFormation из CodeCommit. Разработчики в некоторых аккаунтах недавно не смогли получить доступ к бакету S3. К бакету прикреплена политика (здесь не показана). Что должен сделать DevOps-инженер для решения проблемы доступа?

Правильный ответ сосредоточен на проверке двух распространенных механизмов, которые могут непреднамеренно ограничить доступ в среде AWS Organizations: Service Control Policies (SCP) и границы разрешений IAM. SCP применяются на уровне организации или организационного подразделения (OU) и могут переопределять любые разрешения IAM, установленные в дочерних аккаунтах. Границы разрешений IAM, прикрепленные к ролям или пользователям IAM, устанавливают максимальные разрешения, которые может иметь сущность, даже если политика IAM предоставляет более широкие разрешения. Поскольку все ресурсы развертываются через CloudFormation из CodeCommit, любые необходимые изменения в SCP или границах разрешений должны быть внесены в репозиторий CodeCommit и повторно развернуты, чтобы обеспечить согласованность и контроль версий. Остальные варианты менее точны или неполны: Изменение политики бакета S3 и отключение S3 Block Public Access не является основной причиной проблемы, так как проблема связана с доступом разработчиков, а не с публичным доступом. Проверка и обновление границ разрешений IAM — это часть решения, но она не учитывает потенциальное влияние SCP, которые могут быть более ограничивающими. Использование AWS Config recorder для отката изменений не является проактивным ре