Bir kuruluşun AWS Organizations altında birden çok AWS hesabı bulunmaktadır. Yöneticiler, üye hesaplarda root kullanıcı kimlik bilgilerini kullanmaktaydı ve şirket, tüm üye hesaplarda EC2 kaynakları üzerindeki root kullanıcı eylemlerini engellemek istiyor. Bir SysOps yöneticisinin bu gereksinimi merkezi olarak uygulamasının uygun yolu nedir?

Doğru cevap, AWS Organizations'ın yönetim hesabından bir Hizmet Kontrol Politikası (SCP) oluşturmaktır. SCP'ler, bir kuruluş içindeki tüm üye hesaplar için izinleri merkezi olarak yönetmenize olanak tanır. Kök kullanıcıların EC2 eylemlerini açıkça reddeden bir SCP oluşturmak, bu kısıtlamayı tüm üye hesaplara etkili bir şekilde uygulayacaktır. Diğer seçenekler neden yanlış: Her bir üye hesabına kimlik tabanlı bir IAM politikası eklemek merkezi değildir ve her yeni hesap için tekrarlanması gerekir. Ayrıca, kök kullanıcılar IAM politikalarını geçersiz kılabilir. AWS Config, kaynak yapılandırmalarını denetlemek ve değerlendirmek için kullanılır, ancak eylemleri engellemez. Amazon Inspector, güvenlik açıklarını tarar ancak kök kullanıcı eylemlerini engellemez.