Tek bir OU'ya sahip bir AWS Organization, üye hesaplarda EC2 instance'ları çalıştırıyor. Şirket, her bir EC2 instance'ının kimlik bilgilerinin yalnızca verildiği belirli EC2 instance'ından kullanılabilmesini sağlamak istiyor. Bunu hangi SCP yapılandırması uygulayacaktır?

Doğru cevap, EC2 instance kimlik bilgilerinin yalnızca belirli bir instance'tan kullanılmasını sağlamak için iki koşulun birleşimini kullanır. İlk olarak, aws:EC2InstanceSourceVPC ve aws:SourceVPC global koşul anahtarlarının eşit olup olmadığını kontrol ederek isteğin geldiği VPC ile kimlik bilgilerinin atandığı VPC'nin aynı olmasını sağlar. İkinci olarak, aws:EC2InstanceSourcePrivateIPv4 ve aws:VpcSourceIp global koşul anahtarlarının eşit olup olmadığını kontrol ederek isteğin geldiği özel IP adresinin kimlik bilgilerinin atandığı instance'ın IP adresiyle eşleştiğini doğrular. Bu iki kontrol, kimlik bilgilerinin başka bir VPC'den veya başka bir instance'tan kullanılmasını engeller. SCP'nin OU'ya uygulanması, bu politikanın OU içindeki tüm üye hesaplara yayılmasını sağlar. Yanlış seçenekler, yanlış koşul anahtarlarını birleştirir veya daha az kısıtlayıcı kontroller kullanır. Örneğin, aws:VpcSourceIp ile VPC CIDR bloğunu karşılaştırmak, VPC içindeki herhangi bir IP'den erişime izin vereceği için yeterince kısıtlayıcı değildir. Ayrıca, aws:VpcSourceIp bir IP aralığı belirtirken aws:EC2InstanceSourcePrivateIPv4 belirli bir IP adresini belirtir, bu nedenle doğrudan karşılaştırılamazlar. SCP'yi her hesaba ayrı ayrı uygulamak yerine OU'ya uygulamak daha ölçeklenebilir bir yaklaşımdır.