Организация централизованно управляет сотнями аккаунтов AWS с помощью AWS Organizations. Продуктовые команды теперь создают S3 Access Points и управляют ими в своих аккаунтах. Все S3 Access Points должны быть доступны только из VPC (без доступа к интернету). Какой наиболее операционно эффективный способ обеспечить это требование во всей организации?

Правильный ответ — создание Service Control Policy (SCP) на корневом уровне организации. SCP позволяют централизованно управлять разрешениями для всех аккаунтов в AWS Organizations. Применив SCP, которая запрещает создание S3 Access Points, если условие s3:AccessPointNetworkOrigin не равно VPC, вы гарантируете, что все новые точки доступа будут доступны только из VPC, без необходимости настраивать каждый аккаунт индивидуально. Остальные варианты менее эффективны: Политика ресурсов S3 Access Point применяется к конкретной точке доступа, а не контролирует их создание. Использование AWS CloudFormation StackSets для развертывания IAM-политик требует управления множеством стеков и не является централизованным контролем на уровне организации. Политика S3 bucket применяется к конкретному бакету и не контролирует создание S3 Access Points.