Медиакомпания, существующая 4 года, использует набор функций AWS Organizations all features. Финансовая команда требует, чтобы информация о выставлении счетов для дочерних аккаунтов была недоступна никому, включая root user этих аккаунтов. Какое решение соответствует этому требованию?

Политика управления сервисами (SCP) позволяет централизованно управлять разрешениями в AWS Organizations. Присоединение SCP, запрещающей доступ к информации о выставлении счетов, к корневому OU гарантирует, что это ограничение будет применяться ко всем дочерним аккаунтам, включая их root user. SCP переопределяют любые разрешения, предоставленные в дочерних аккаунтах, даже root user. Добавление пользователей финансовой команды в группу IAM с политикой Billing не решает проблему, так как это дает доступ, а не ограничивает его для других. Политика на основе идентификации не может запретить доступ root user, поскольку root user имеет полные административные права, которые не могут быть ограничены IAM-политиками. Переход на consolidated billing не решает проблему ограничения доступа к информации о выставлении счетов; consolidated billing — это функция, а не механизм контроля доступа.