Bir güvenlik yöneticisinin, bir AWS Organizations organizasyonundaki üye hesaplarda root kullanıcı kimlik bilgilerinin kullanımını kısıtlaması gerekiyor. Tüm özellikler etkinleştirilmiştir. Yönetim hesabı yalnızca faturalandırma ve yönetim için kullanılır, operasyonlar için kullanılmaz. Yönetici, organizasyon genelinde üye hesap root kullanıcı kullanımını nasıl kısıtlayabilir?

Doğru cevap, AWS Organizations'ta bir Organizasyonel Birim (OU) oluşturmak, root kullanıcı kullanımını kısıtlayan bir Hizmet Kontrol Politikası (SCP) eklemek ve tüm üye hesaplarını bu OU'ya taşımaktır. SCP'ler, bir organizasyondaki hesaplar için maksimum izinleri belirleyen güçlü güvenlik kontrolleridir. Root kullanıcı işlemlerini engelleyen bir SCP, tüm üye hesaplarında root kullanıcı kullanımını merkezi olarak kısıtlayabilir. Bu yöntem, yönetim hesabının operasyonel olarak kullanılmadığı senaryolarda özellikle etkilidir. Diğer seçenekler neden yanlış: "Organizasyon root'unda root kullanıcının kullanımını devre dışı bırakın. Her üye hesabındaki root kullanıcı için çok faktörlü kimlik doğrulamayı (MFA) etkinleştirin." seçeneği, root kullanıcının kullanımını tamamen devre dışı bırakmak mümkün değildir ve MFA etkinleştirmek kısıtlamadan ziyade bir güvenlik iyileştirmesidir. "Her üye hesabında root hesap yeteneklerini kısıtlamak için IAM kullanıcı politikalarını yapılandırın." seçeneği yanlıştır çünkü IAM politikaları root kullanıcıya uygulanamaz. Root kullanıcı, tüm AWS hizmetlerine ve kaynaklarına tam erişime sahiptir. "AWS CloudTrail'i Amazon CloudWatch Logs ile entegre edin ve RootAccountUsage için bir metrik filtresi oluşturun." seçeneği, root kullanıcı kullanımını izlemek için iyi bir yöntem olsa da, kullanımı kısıtlamaz, sadece bildirir.