Bir şirket, AWS Organizations altında birden çok AWS hesabı kullanıyor. Üretim için bir OU ve geliştirme için başka bir OU var. Kurumsal kurallar, geliştiricilerin üretim hesabında yalnızca önceden onaylanmış AWS hizmetlerini kullanmasına izin veriyor. Üretim hesabı için bu kısıtlamayı uygulamanın operasyonel olarak en verimli yolu nedir?

Doğru cevap, bir hizmet kontrol politikası (SCP) oluşturmak ve bunu üretim OU'suna eklemektir. SCP'ler, AWS Organizations'daki tüm hesaplar için izinleri merkezi olarak yönetmenize olanak tanır. Bir SCP'yi üretim OU'suna uyguladığınızda, bu OU'daki tüm üretim hesapları otomatik olarak bu kısıtlamalara tabi olur ve geliştiricilerin yalnızca onaylanmış AWS hizmetlerini kullanmasını sağlar. Bu, operasyonel olarak en verimli yöntemdir çünkü her hesaba ayrı ayrı politika ekleme ihtiyacını ortadan kaldırır ve yeni üretim hesapları oluşturulduğunda otomatik olarak uygulanır. Müşteri tarafından yönetilen bir IAM politikası oluşturup bunu üretim hesabındaki tüm kullanıcılara eklemek, her kullanıcıya ayrı ayrı politika eklemeyi veya mevcut kullanıcı gruplarını güncellemeyi gerektireceğinden daha az verimlidir. Bir IAM işlev politikası diye bir kavram AWS'de bulunmamaktadır. Bir IAM politikası oluşturup bunu Amazon API Gateway aracılığıyla uygulamak, API Gateway ile ilgili eylemleri kısıtlayabilir ancak tüm AWS hizmetleri için genel bir kısıtlama sağlamaz ve karmaşık bir çözümdür.