Organizations, OU y estrategia de SCP

AWS Organizations permite administrar de forma centralizada muchas cuentas de AWS como una sola estructura. Dentro de ella, las Service Control Policies (SCP) establecen límites máximos de permisos y las Organizational Units (OUs) agrupan cuentas para dirigir las políticas. Diseñar correctamente esta jerarquía es una competencia fundamental para el área de gobernanza del examen SCS-C02.

Una organización tiene en la parte superior una cuenta de administración (antes denominada cuenta maestra), un contenedor root y OUs que pueden anidarse para agrupar cuentas miembro. Las políticas asociadas en cualquier nivel se propagan a todo lo que se encuentra debajo. Este árbol permite aplicar controles de forma amplia o específica con una sola asociación.

Una Organizational Unit (OU) agrupa cuentas que comparten necesidades de gobernanza, por ejemplo, una OU de "Production", una OU de "Sandbox" y una OU de "Security". Asociar una SCP a una OU la aplica a todas las cuentas que contiene, por lo que las cuentas se organizan según las políticas que deben heredar.

Las SCP se heredan hacia abajo en el árbol: una cuenta se rige conjuntamente por las SCP de la raíz, de sus OUs principales y de la propia cuenta. Para que se permita una acción, debe estar permitida en todos los niveles. Un denegamiento en cualquier punto de la cadena la bloquea. Este efecto acumulativo es fundamental para diseñar SCP.

Existen dos estrategias. Una lista de denegación parte de FullAWSAccess, que viene incluida de forma predeterminada, y añade denegaciones explícitas para acciones que nunca desea permitir, como desactivar CloudTrail. Una lista de permitidos elimina FullAWSAccess y enumera explícitamente solo los servicios permitidos, lo que proporciona una postura mucho más estricta. La mayoría de las organizaciones comienza con una lista de denegación por flexibilidad.

Esta SCP impide que cualquiera detenga el registro de CloudTrail, una protección habitual que se aplica en toda la organización para que ninguna cuenta miembro pueda dejar ciego el registro de auditoría.

Una regla fundamental: los SCP nunca conceden permisos; solo establecen el máximo. Una acción debe estar permitida por un SCP y una política de IAM en la cuenta. Un SCP de lista de permitidos simplemente hace que los servicios estén disponibles para ser concedidos; IAM aún debe concederlos.

Los SCP no se aplican a la cuenta de administración ni afectan a los roles vinculados a servicios. En algunos casos, tampoco afectan a las concesiones de políticas basadas en recursos procedentes de fuera de la organización. Conocer estas excepciones evita respuestas incorrectas cuando un escenario espera que un SCP bloquee algo que no puede bloquear.

Dos SCP protectores clásicos deniegan abandonar la organización (organizations:LeaveOrganization) y deniegan que las cuentas miembro deshabiliten los servicios de seguridad, como GuardDuty, Security Hub, Config y CloudTrail. Aplicados en la raíz, garantizan que ninguna cuenta miembro pueda desvincularse de la gobernanza ni dejar a la organización sin visibilidad de detección, una configuración de referencia muy recomendable.

Un diseño habitual consiste en aplicar en la raíz un SCP de lista de denegación como configuración de referencia (proteger CloudTrail, impedir abandonar la organización y restringir las regiones), SCP más estrictos en la OU de Production y otros más permisivos en la OU de Sandbox. Agrupar las cuentas por perfil de riesgo en OUs permite ajustar la gobernanza con precisión y mantener las políticas bajo control.

Organizations organiza las cuentas en OUs bajo una raíz y una cuenta de administración. Los SCP se heredan a lo largo del árbol y una acción necesita una autorización en cada nivel. Elija una estrategia de lista de denegación (flexible) o de lista de permitidos (estricta), recuerde que los SCP solo establecen límites, nunca conceden permisos y que no se aplican a la cuenta de administración ni a los roles vinculados a servicios.

Compruebe su estrategia de SCP.

AWS Organizations agrupa las cuentas en OUs bajo una raíz y una cuenta de administración. Los SCP se heredan a lo largo del árbol y requieren una autorización en cada nivel; cualquier denegación bloquea la acción. Use una estrategia de lista de denegación (flexible) o de lista de permitidos (estricta). Los SCP solo establecen límites, nunca conceden permisos y no se aplican a la cuenta de administración ni a los roles vinculados a servicios.