Bir sağlık şirketi, bir AWS Organizations organizasyonunda birden çok AWS hesabına sahiptir. Şirket, hassas hasta verilerini Amazon S3'te depolar ve kullanıcıların tüm hesaplardaki herhangi bir S3 bucket'ını silmesini engellemelidir. Bu kontrolü uygulamanın en ölçeklenebilir yolu nedir?

Hassas verilerin silinmesini önlemek için AWS Organizations'da birden çok hesapta ölçeklenebilir bir kontrol uygulamak için Hizmet Kontrol Politikaları (SCP'ler) en uygun çözümdür. SCP'ler, AWS Organizations'daki tüm hesaplarda veya belirli Organizasyon Birimlerinde (OU'lar) izinleri merkezi olarak yönetmenize olanak tanır. Bir SCP ile, S3 bucket silme eylemini (örneğin, s3:DeleteBucket) açıkça reddedebilirsiniz, bu da ilgili tüm hesaplardaki kullanıcıların bu eylemi gerçekleştirmesini engeller. Diğer seçenekler neden uygun değil: IAM izin sınırları (permissions boundaries) yalnızca bireysel IAM kimliklerinin (kullanıcılar veya roller) alabileceği maksimum izinleri tanımlar, ancak bir hesabın tamamındaki veya kuruluş genelindeki eylemleri kısıtlamaz. S3 bucket politikaları yalnızca belirli bir S3 bucket'ı için geçerlidir ve birden çok bucket veya hesap genelinde merkezi bir kontrol sağlamaz. Etiket politikaları (tag policies) kaynakların etiketlenmesini standartlaştırmak için kullanılır, ancak izinleri veya eylemleri doğrudan kısıtlamaz.