Bir kuruluş, geliştiricilerin onaylanmış üçüncü taraf yazılımları yalnızca AWS Marketplace'teki bir Private Marketplace aracılığıyla satın almasını istiyor. Şirket, tüm özellikler etkinleştirilmiş olarak AWS Organizations kullanıyor ve her OU'da tedarik yöneticileri için paylaşımlı hizmetler hesabına sahip. Tedarik yönetimi, procurement-manager-role adlı bir rolle (tedarik yöneticileri tarafından üstlenilebilir) sınırlandırılmalıdır. Diğer tüm IAM kullanıcıları, grupları, rolleri ve hesap yöneticilerinin Private Marketplace yönetim erişimi reddedilmelidir. Bu gereksinimleri karşılamak için EN verimli mimari nedir?

Doğru seçenek, AWS Organizations'ın merkezi yönetim yeteneklerini kullanarak en verimli ve güvenli çözümü sunar. İlk olarak, paylaşımlı hizmetler hesaplarında procurement-manager-role oluşturulur ve bu role AWSPrivateMarketplaceAdminFullAccess politikası atanır. Bu, tedarik yöneticilerinin Private Marketplace'i yönetmesine izin verir. Ardından, kuruluş kök düzeyinde iki adet Hizmet Kontrol Politikası (SCP) uygulanır. Bir SCP, procurement-manager-role dışındaki herkesin Private Marketplace yönetimini reddeder. Bu, diğer tüm IAM kullanıcılarının, gruplarının, rollerinin ve hesap yöneticilerinin erişimini engeller. İkinci SCP ise, procurement-manager-role adlı bir IAM rolü oluşturma yeteneğini reddeder. Bu, yetkisiz kişilerin aynı ada sahip bir rol oluşturarak kısıtlamaları atlamasını önler. Bu yaklaşım, güvenlik gereksinimlerini merkezi olarak ve tüm kuruluş genelinde tutarlı bir şekilde uygular. Diğer seçenekler ise ya güvenlik açıklarına yol açar (örneğin, PowerUserAccess veya AdministratorAccess gibi geniş yetkiler vermek) ya da yönetim karmaşıklığını artırır (örneğin, her hesapta manuel olarak inline politikalar uygulamak veya izin sınırları tanımlamak). Ayrıca, SCP'lerin gücünü tam olarak kullanmazlar veya SCP'leri yanlış seviyelerde uygularlar, bu da istenen kısıtlamaların etkili olmamasına neden olabilir.