Bir şirket, DevOps ekipleri genelinde üretim ve üretim dışı iş yükleri için birden fazla AWS hesabı kullanıyor. DevOps ekiplerinin kullanmadığı küçük bir AWS hizmetleri kümesine erişimi merkezi olarak kısıtlamak isterken, şu anda kullanımda olan hizmetlere erişime izin vermek istiyorlar. Zaten tüm hesapları AWS Organizations'a davet ettiler. Ayrıca hesap gruplarını birlikte yönetmek istiyorlar. Bir çözüm mimarı hangi eylem kombinasyonlarını yapmalıdır? (Üçünü seçin.)

Doğru cevaplar, istenen kısıtlama ve yönetim hedeflerine ulaşmak için en uygun stratejileri temsil eder. Bir deny-list (açıkça reddetme) stratejisi, belirli hizmetlere erişimi merkezi olarak kısıtlarken, diğer hizmetlere varsayılan olarak izin verdiği için bu senaryo için idealdir. IAM Access Advisor, prensipler tarafından yakın zamanda hangi hizmetlerin kullanıldığını belirleyerek, hangi hizmetlerin kısıtlanması gerektiğini veya kısıtlanmaması gerektiğini anlamak için somut veriler sağlar. Organizasyonel Birimler (OU'lar) oluşturmak ve hesapları uygun OU'lara taşımak, benzer yönetim gereksinimlerine sahip hesapları gruplandırarak SCP'lerin (Hizmet Kontrol Politikaları) daha etkili bir şekilde uygulanmasını sağlar. AWS Trusted Advisor raporları, güvenlik veya maliyet optimizasyonu önerileri sunsa da, hizmet kullanımını izlemek için birincil araç değildir. Varsayılan FullAWSAccess SCP'yi kaldırmak, tüm hesaplarda tüm hizmetlere erişimi kısıtlar ve bu senaryo için çok kısıtlayıcıdır. DenyAWSAccess diye bir varsayılan SCP bulunmamaktadır.