Bir AWS hesabındaki güvenlik denetimi uygulaması, aynı AWS Organization'daki diğer hesaplara erişmek için bir IAM rolü üstlenir. Bir güvenlik denetimi, denetlenen üye hesaplardaki kullanıcıların denetim uygulamasının IAM rolünü değiştirebildiğini veya silebildiğini tespit etti. Şirketin, güvenilir bir yönetici IAM rolü dışındaki hiç kimsenin bu denetim rolünü değiştirmesini engellemesi gerekiyor. Bu gereksinimi hangi yaklaşım karşılayacaktır?

Doğru cevap, AWS Organizations Hizmet Kontrol Politikaları (SCP'ler) aracılığıyla merkezi bir kontrol uygulamaktır. Kuruluş köküne eklenen bir SCP, tüm üye hesaplar için maksimum izinleri tanımlar ve bu durumda, denetim uygulamasının IAM rolünde yapılan değişiklikleri reddederken, güvenilir yönetici IAM rolünün bu değişiklikleri yapmasına izin veren bir koşul içerir. Bu, denetim rolünün yetkisiz değişikliklerden korunmasını sağlar. Diğer seçenekler, SCP'lerin merkezi denetim yeteneğine sahip değildir veya izin sınırları gibi daha az kapsamlı mekanizmalar kullanır. İzin sınırları, bir rolün veya kullanıcının sahip olabileceği maksimum izinleri belirler, ancak diğer sorumluların bu rolü değiştirmesini engellemez.