Компания использует несколько аккаунтов AWS в рамках AWS Organizations. Существует OU для production и OU для разработки. Корпоративные правила разрешают разработчикам использовать только предварительно одобренные сервисы AWS в production-аккаунте. Какой способ является наиболее операционно эффективным для обеспечения этого ограничения для production-аккаунта?

Правильный ответ — создание политики управления сервисами (SCP) и ее прикрепление к OU production. SCPs позволяют централизованно управлять разрешениями в AWS Organizations, определяя максимальные доступные разрешения для всех пользователей и ролей в OU. Прикрепление SCP к OU production гарантирует, что все аккаунты в этой OU будут соответствовать корпоративным правилам, ограничивая использование только предварительно одобренных сервисов. Это наиболее операционно эффективный способ, так как он применяется ко всем аккаунтам в OU автоматически. Создание управляемой клиентом политики IAM и прикрепление ее ко всем пользователям в production-аккаунте требует ручного управления для каждого пользователя, что неэффективно. Создание политики IAM для должностных функций и применение ее ко всем пользователям в production OU также не оптимально, так как IAM политики применяются к субъектам внутри аккаунта, а не ко всем аккаунтам в OU. Использование Amazon API Gateway для ограничения действий не является механизмом управления разрешениями для AWS сервисов в целом.