Bir şirket, geliştirme ve üretim için ayrı OU'lar ile AWS Organizations kullanmaktadır. Yalnızca üretim OU'sundaki AWS hesaplarının belirli bir Amazon S3 bucket'ına VPC Flow Logs yazmasına izin verilmelidir. Güvenlik mühendisi, s3:PutObject için S3 bucket ilkesine bir Condition öğesi eklerken koşulu nasıl yapılandırmalıdır?

Doğru cevap, aws:SourceOrgPaths koşul anahtarını üretim OU'sunun AWS Organizations varlık yoluna ayarlamaktır. aws:SourceOrgPaths koşul anahtarı, bir isteğin belirli bir AWS Organizations varlık yolundan gelip gelmediğini kontrol etmek için kullanılır. Bu sayede, yalnızca üretim OU'sundaki hesapların S3 bucket'ına VPC Flow Logs yazmasına izin verilirken, geliştirme OU'sundaki hesapların bu işlemi yapması engellenir. Diğer seçenekler neden yanlış: aws:SourceOrgID koşul anahtarı, isteğin geldiği kuruluşun kimliğini kontrol eder, ancak belirli bir OU'yu değil. Tüm kuruluşa izin verir veya reddeder. aws:ResourceOrgID ve aws:ResourceOrgPaths koşul anahtarları, isteğin hedeflediği kaynağın (bu durumda S3 bucket'ı) ait olduğu kuruluşu veya OU'yu kontrol eder. Ancak burada isteği yapanın (VPC Flow Logs'u yazan hesabın) OU'sunu kısıtlamak istiyoruz, kaynağın kendisini değil.