В рамках AWS Organization компания требует, чтобы корзины S3 во всех производственных аккаунтах никогда нельзя было удалить. Какой самый простой способ для администратора SysOps обеспечить невозможность удаления корзин S3 в этих аккаунтах?

Присоединение политики управления сервисами (SCP) к производственным аккаунтам, запрещающей действие s3:DeleteBucket, является наиболее простым и эффективным способом предотвратить удаление корзин S3. SCP применяются ко всем пользователям и ролям в аккаунтах, к которым они прикреплены, обеспечивая централизованный контроль на уровне организации. Вариант с MFA Delete для каждой корзины S3 требует ручной настройки для каждой корзины и не масштабируется для большого количества аккаунтов или корзин. Создание группы IAM с запретом s3:DeleteBucket не гарантирует, что все пользователи будут в этой группе, и не предотвращает действия от корневого пользователя или других ролей. Использование AWS Shield не имеет отношения к контролю разрешений на удаление корзин S3; Shield предназначен для защиты от DDoS-атак.