Organizations, OUs e Estratégia de SCP

O AWS Organizations permite gerenciar centralmente várias contas da AWS como uma única estrutura. Nele, as Service Control Policies (SCPs) definem tetos de permissões, e as Organizational Units (OUs) agrupam contas para direcionamento de políticas. Projetar bem essa hierarquia é uma habilidade essencial para o domínio de governança do exame SCS-C02.

Uma organização tem uma conta de gerenciamento (anteriormente chamada de principal) no topo, um contêiner raiz e OUs que podem ser aninhadas para agrupar contas-membro. As políticas anexadas em qualquer nível descem para tudo o que estiver abaixo dele. Essa árvore permite aplicar controles de forma ampla ou específica com um único anexo.

Uma Organizational Unit (OU) agrupa contas que compartilham necessidades de governança, como uma OU de "Produção", uma OU de "Sandbox" e uma OU de "Segurança". Anexar uma SCP a uma OU aplica essa política a todas as contas dentro dela; portanto, organize as contas de acordo com as políticas que elas devem herdar.

As SCPs são herdadas pela árvore: uma conta é governada pelas SCPs da raiz, de suas OUs ancestrais e dela própria, consideradas em conjunto. Para que uma ação seja permitida, ela precisa ser autorizada em todos os níveis. Uma negação em qualquer ponto da cadeia a bloqueia. Esse efeito cumulativo é fundamental para o design de SCPs.

Há duas estratégias. Uma lista de negação começa com FullAWSAccess e adiciona negações explícitas para ações que você nunca quer permitir, como desativar o CloudTrail. Uma lista de permissão remove FullAWSAccess e relaciona explicitamente apenas os serviços permitidos, adotando uma postura muito mais rígida. A maioria das organizações começa com uma lista de negação por causa da flexibilidade.

Esta SCP impede qualquer pessoa de interromper o logging do CloudTrail, uma proteção comum aplicada a toda a organização para que nenhuma conta-membro possa cegar a trilha de auditoria.

Uma regra fundamental: as SCPs nunca concedem permissões; elas apenas definem o limite máximo. Uma ação precisa ser permitida tanto por uma SCP quanto por uma política do IAM na conta. Uma SCP de lista de permissões simplesmente torna os serviços disponíveis para concessão; o IAM ainda precisa concedê-los.

As SCPs não se aplicam à conta de gerenciamento e não afetam funções vinculadas a serviços. Em alguns casos, elas também não interferem nas concessões de políticas baseadas em recursos provenientes de fora da organização. Conhecer essas exceções evita respostas incorretas quando um cenário espera que uma SCP bloqueie algo que ela não pode bloquear.

Duas SCPs de proteção clássicas negam a ação de sair da organização (organizations:LeaveOrganization) e negam que contas-membro desativem serviços de segurança como GuardDuty, Security Hub, Config e CloudTrail. Aplicadas na raiz, elas garantem que nenhuma conta-membro possa se desvincular da governança ou deixar os mecanismos de detecção da organização inoperantes; essa é uma configuração básica altamente recomendada.

Um projeto típico: uma SCP básica de lista de negações na raiz (proteger o CloudTrail, negar a saída da organização e restringir regiões), SCPs mais rigorosas na OU de Produção e SCPs mais flexíveis em uma OU de Ambiente de testes. Agrupar contas por perfil de risco em OUs permite ajustar a governança com precisão e gerar o mínimo de complexidade nas políticas.

Organizações estruturam as contas em OUs sob uma raiz e uma conta de gerenciamento. As SCPs são herdadas ao longo da árvore, e uma ação precisa ser permitida em cada nível. Escolha uma estratégia de lista de negações (flexível) ou de lista de permissões (rigorosa), lembre-se de que as SCPs apenas limitam, nunca concedem e de que elas não se aplicam à conta de gerenciamento nem às funções vinculadas a serviços.

Teste sua estratégia de SCPs.

AWS Organizations agrupa contas em OUs sob uma raiz e uma conta de gerenciamento. As SCPs são herdadas ao longo da árvore e exigem uma permissão em cada nível; qualquer negação bloqueia a ação. Use uma estratégia de lista de negações (flexível) ou de lista de permissões (rigorosa). As SCPs apenas limitam, nunca concedem e não se aplicam à conta de gerenciamento nem às funções vinculadas a serviços.