Bir kuruluşun AWS Organizations'ta 10 AWS hesabı var. Her hesapta AWS Config çalışıyor ve her hesap ya Prod OU'ya ya da NonProd OU'ya ait. Her hesapta, bir EC2 güvenlik grubu gelen kuralı 0.0.0.0/0 kaynak ile oluşturulduğunda bir SNS konusuna bildirim gönderen bir EventBridge kuralı bulunuyor; güvenlik ekibi SNS konusuna abone. Tüm NonProd OU hesapları için, güvenlik ekibinin 0.0.0.0/0'a izin veren güvenlik grubu gelen kuralları oluşturma yeteneğini kaldırması gerekiyor. Bu, EN AZ operasyonel yük ile hangi yaklaşımla başarılabilir?

Doğru cevap, 0.0.0.0/0 kaynaklı gelen kuralları reddeden bir Hizmet Kontrol Politikası (SCP) oluşturmak ve bunu NonProd OU'ya uygulamaktır. SCP'ler, AWS Organizations'taki hesaplar için izinleri merkezi olarak yönetmenin ve kısıtlamanın etkili bir yoludur. Bu yaklaşım, NonProd OU'daki tüm mevcut ve gelecekteki hesaplarda bu tür güvenlik grubu kurallarının oluşturulmasını önleyerek en az operasyonel yükü sağlar. Diğer seçenekler neden yanlış: EventBridge kuralını Lambda ile değiştirmek, her güvenlik grubu kuralı oluşturulduğunda bir düzeltme eylemi gerektirir ve önleyici değildir. Ayrıca, her hesapta kuralın dağıtımını ve yönetimini gerektirir, bu da daha yüksek operasyonel yüke neden olur. Yönetilen AWS Config kuralı vpc-sg-open-only-to-authorized-ports, belirli bağlantı noktalarını kısıtlar ancak 0.0.0.0/0'ın kendisini engellemez. Ayrıca, bu bir denetim kuralıdır, önleyici bir mekanizma değildir. Yalnızca aws:SourceIp 0.0.0.0/0 olmadığında ec2:AuthorizeSecurityGroupIngress'e izin veren bir SCP oluşturmak, varsayılan olarak her şeyi reddeden ve yalnızca belirli koşullar altında izin veren daha karmaşık bir politikaya yol açar. Reddetme politikaları genellikle daha basittir ve belirli bir eylemi engellemek için daha etkilidir.