Компания изменила диапазоны IP-адресов корпоративной сети. Десять бакетов S3 в разных аккаунтах ограничивают доступ к диапазону частной корпоративной сети. Двум организационным единицам (OU) необходимо отозвать доступ. Как следует обновить бакеты и отозвать доступ для двух OU?

Правильный ответ включает обновление политик бакетов S3 и использование SCP. Обновление политики на основе ресурсов каждого бакета S3 для разрешения только нового диапазона IP-адресов гарантирует, что доступ к бакетам будет ограничен только из корпоративной сети. Создание SCP (Service Control Policy), запрещающего доступ к этим бакетам S3, и его прикрепление к двум OU эффективно отзывает доступ для всех аккаунтов в этих OU, так как SCP применяются ко всем сущностям IAM в аккаунтах. Первый неверный вариант предлагает создать SCP, который запрещает доступ к этим бакетам S3, и прикрепить его к двум OU, но не упоминает обновление политик бакетов S3 для разрешения только нового диапазона IP-адресов. Второй неверный вариант предлагает два SCP, что избыточно, и не включает обновление политик бакетов. Четвертый неверный вариант предлагает использовать границы разрешений, которые применяются к сущностям IAM, а не к аккаунтам или OU, что делает их менее эффективными для отзыва доступа на уровне OU.