Компания использует несколько аккаунтов AWS для рабочих и нерабочих нагрузок в разных командах DevOps. Они хотят централизованно ограничить доступ к небольшому набору сервисов AWS, которые команды DevOps не используют, при этом разрешая доступ к используемым в настоящее время сервисам. Они уже пригласили все аккаунты в AWS Organizations. Они также хотят управлять группами аккаунтов вместе. Какую комбинацию действий должен предпринять архитектор решений? (Выберите три.)

Для централизованного ограничения доступа к неиспользуемым сервисам, сохраняя доступ к используемым, следует применить стратегию явного запрета (deny list). Это означает, что вы явно запрещаете доступ к определенным сервисам, а все остальные разрешены по умолчанию, что проще в управлении, чем стратегия явного разрешения (allow list) для всех используемых сервисов. IAM Access Advisor позволяет просмотреть, какие сервисы недавно использовались субъектами, что критически важно для определения неиспользуемых сервисов, которые нужно запретить. Создание организационных единиц (OU) и перемещение аккаунтов в соответствующие OU позволяет применять политики управления сервисами (SCP) к группам аккаунтов, а не к каждому аккаунту по отдельности, что упрощает управление. Отчеты AWS Trusted Advisor не предназначены для отслеживания использования сервисов субъектами. Удаление SCP FullAWSAccess по умолчанию не является необходимым шагом для реализации этой стратегии, так как он разрешает полный доступ, который будет переопределен вашими SCP с явным запретом. SCP DenyAWSAccess по умолчанию не существует.