Kuruluş, VPC CIDR'ları ve bulut dışı donanımlar için belirli bir IP adresi aralığı atar. Şirket IP aralığı dışındaki sorumluların kuruluşun hesaplarında AWS eylemleri gerçekleştirmesini engellemeniz gerekir. Bu gereksinimi hangi yaklaşım uygulayacaktır?

Doğru cevap, kuruluşun IP aralığı dışındaki kaynak IP adreslerinden gelen istekleri reddeden bir Hizmet Kontrol Politikası (SCP) oluşturmak ve SCP'yi kuruluş köküne eklemektir. SCP'ler, AWS Organizations'ın bir özelliğidir ve kuruluşunuzdaki tüm AWS hesaplarında izinleri merkezi olarak yönetmenize olanak tanır. Belirtilen IP aralığı dışından gelen tüm AWS eylemlerini reddeden bir SCP oluşturmak, bu gereksinimi karşılamanın etkili bir yoludur. Diğer seçenekler neden yanlış: AWS Firewall Manager ve Amazon Network Firewall, ağ trafiğini denetler, ancak AWS API çağrılarını değil. Bu, AWS eylemlerini kısıtlamak için uygun bir çözüm değildir. GuardDuty, tehdit tespiti için kullanılır, erişim kontrolü için değil. Güvenilir IP listesi, GuardDuty'nin analizini etkiler, ancak AWS eylemlerini engellemez. "Yalnızca şirket IP aralığından kaynaklanan isteklere izin veren bir SCP oluşturun" seçeneği, reddetme mantığı yerine izin verme mantığı kullandığı için daha az güvenlidir. Reddetme politikaları genellikle daha güçlü ve daha az hata eğilimlidir.