Si una SCP de AWS permite una acción, ¿pueden los usuarios de esa cuenta realizarla?

Muchos candidatos oyen «política que permite» y piensan en un allow de IAM. En AWS Organizations no funciona así, y equivocarse genera falsa confianza o bloqueos.

Un techo, no una concesión

La documentación de AWS es explícita: las SCP «no conceden permisos» y establecen «una barrera» sobre las acciones que pueden realizar los usuarios y roles IAM de la organización. Para actuar, un principal necesita una política basada en identidad o recurso que lo conceda, y todas las SCP por encima de la cuenta deben permitirlo. Un usuario sin política IAM no tiene acceso aunque las SCP lo permitan todo.

Lo que las SCP no cubren

Las SCP solo afectan a las cuentas miembro. No tienen efecto sobre usuarios o roles de la cuenta de administración ni sobre los roles vinculados a servicios. Tampoco se aplican a principales de cuentas ajenas a la organización. Por eso la cuenta de administración debe contener lo mínimo.

Trampa operativa

AWS recomienda probar antes de adjuntar una SCP a la raíz, usando una UO y moviendo cuentas poco a poco. Quitar la política FullAWSAccess predeterminada sin sustituirla hace fallar todas las acciones de las cuentas miembro.

Por qué los distractores tientan

«Las SCP conceden acceso» las confunde con los allow de IAM. «Solo root» y «solo la cuenta de administración» invierten el alcance real.

Lo que buscan los entrevistadores

«Un techo, no una concesión: los permisos efectivos son la intersección», más las excepciones de la cuenta de administración y los roles vinculados a servicios.