某公司使用 AWS Organizations 來管理不同部門的多個 AWS 帳戶。管理帳戶擁有一個包含專案報告的 Amazon S3 儲存貯體。該公司希望將此 S3 儲存貯體的存取權限限制為僅限 AWS Organization 內的帳戶使用者。哪種解決方案能以最少的操作負擔滿足此要求？

正確答案是將 aws:PrincipalOrgID 全域條件鍵及其對應的組織 ID 參考新增至 S3 儲存貯體政策。這個方法最簡潔，因為它直接利用了 AWS Organizations 的結構，允許您指定只有來自特定組織的帳戶才能存取 S3 儲存貯體。只需在儲存貯體政策中設定一次，就能自動涵蓋組織內所有現有和未來的帳戶，管理負擔最小。 為每個部門建立 OU 並使用 aws:PrincipalOrgPaths 雖然也能限制存取，但需要更複雜的政策管理，且可能在組織結構變動時需要更新，操作負擔較大。使用 AWS CloudTrail 監控事件並更新政策過於被動且複雜，不適合即時存取控制。為每個使用者加上標籤並使用 aws:PrincipalTag 則需要為每個使用者手動管理標籤，且無法直接限制整個組織的帳戶存取，管理負擔極高。