AWS Servis Kontrol Politikaları (SCP), AWS Organizations altında toplanan hesaplar için hangi eylemlerin en fazla ne kadar mümkün olabileceğini belirleyen merkezi bir tavan mekanizmasıdır. Bir SCP tek başına kimseye izin vermez; yalnızca hesap içindeki kimliklerin sahip olabileceği yetkilerin dış sınırını çizer. Yani bir hesap kullanıcısına ne verilirse verilsin, SCP’nin izin vermediği bir eylem hiçbir koşulda gerçekleşemez.

SCP bir izin dağıtıcısı değil, bir tavandır; hesap içinde ne kadar yetki tanımlanırsa tanımlansın kimse bu tavanın üstüne çıkamaz.

Organizasyon Ağacında Nasıl Uygulanır?

SCP’ler organizasyonun kök düğümüne, örgütsel birimlere (OU) veya tek tek hesaplara bağlanır. Bir hesabın etkin izin tavanı, kök düğümden o hesaba kadar uzanan yol üzerindeki tüm SCP’lerin kesişimidir. Üst düzeyde bir servis engellendiyse, alt bir OU onu geri açamaz; kısıtlamalar yalnızca aşağı doğru daralır. Bu yapı, yüzlerce hesabı olan bir kurumda güvenlik kurallarını tek bir noktadan dayatmayı mümkün kılar.

Pratikte iki tasarım tercih edilir. Reddet listesi yaklaşımında geniş bir izin tabanı bırakılıp yalnızca tehlikeli eylemler kapatılır; örneğin belirli bölgelerin dışında kaynak açılması ya da güvenlik günlüklerinin kapatılması engellenir. İzin listesi yaklaşımında ise yalnızca onaylı servisler açık bırakılır ve gerisi baştan kapatılır. İkinci yöntem En az yetki ilkesi ile daha uyumludur ama işletilmesi daha titiz bir yönetim gerektirir.

IAM ile İlişkisi

SCP ve hesap içi izinler birbirini tamamlar ama karıştırılmamalıdır. Bir eylemin gerçekleşmesi için hem SCP tavanının o eyleme izin vermesi hem de Kimlik ve erişim yönetimi politikalarının kullanıcıya o yetkiyi tanıması gerekir. İkisinden biri hayır diyorsa sonuç rettir. Bu ikili yapı, merkezi güvenlik ekibinin koyduğu sınırların, hesap yöneticilerinin günlük izin düzenlemeleriyle delinememesini güvence altına alır.

Kurumsal Değeri

SCP, farklı ekiplerin kendi hesaplarını yönettiği ancak kurumun ortak güvenlik çıtasının korunması gereken ortamlarda öne çıkar. Kök kullanıcının bazı eylemleri yapmasını dahi engelleyebilmesi, tek bir hesabın ele geçirilmesi durumunda hasarı sınırlar. Bu tavanlar Bulut bilişim hizmet modelleri fark etmeksizin tüm hesap genelinde geçerli olur ve Bulut güvenlik duruşu yönetimi araçlarıyla sürekli denetlenir. Organizasyon ağacının ve politika tavanlarının doğru kurgulanıp kurgulanmadığını bağımsız biçimde değerlendirmek için altyapı ve mimari gözden geçirme çalışması sağlam bir başlangıç noktasıdır.