Bir şirket AWS Organizations kullanıyor ve tüm kaynakları (IAM ve S3 politikaları dahil) CloudFormation aracılığıyla CodeCommit'ten dağıtıyor. Bazı hesaplardaki geliştiriciler yakın zamanda bir S3 bucket'ına erişemiyor. Bucket'a bir politika eklenmiş durumda (burada gösterilmiyor). DevOps mühendisi erişim sorununu çözmek için ne yapmalıdır?

Doğru cevap, AWS Organizations ortamında erişim sorunlarının temel nedenlerini ele alır. Service Control Policies (SCP'ler) ve IAM permissions boundaries, AWS Organizations'ta izinleri kısıtlamak için kullanılır ve geliştiricilerin S3'e erişimini engelleyebilir. Bu nedenle, ilk adım bu politikaların erişimi kısıtlamadığından emin olmaktır. Gerekli değişiklikler CodeCommit'teki kaynaklarda yapılmalı ve CloudFormation aracılığıyla dağıtılmalıdır çünkü tüm kaynaklar bu şekilde yönetilmektedir. Diğer seçenekler şunlar için yanlıştır: S3 Block Public Access'i kapatmak genellikle bir güvenlik riski oluşturur ve sorunun kök nedeni değildir. aws:SourceAccount koşulu, bucket'a erişimi kısıtlamak için kullanılır, ancak SCP'ler veya permissions boundaries zaten erişimi engelliyorsa işe yaramaz. AWS Config recorder, geçmiş değişiklikleri izlemek için kullanılır, ancak erişim sorununu çözmek için doğrudan bir mekanizma değildir. Permissions boundaries'i güncellemek doğru bir adım olabilir, ancak Config recorder'ı bu şekilde kullanmak sorunu çözmez. Geliştirici OU'larındaki IAM kaynaklarını değiştirmeyi engelleyen bir SCP oluşturmak, sorunu daha da kötüleştirebilir çünkü geliştiricilerin kendi izinlerini yönetmesini engeller. Ayrıca, aws:SourceAccount koşulu yine temel sorunu çözmez.