AWS SCPs (Service Control Policies)

Définition

Les AWS SCPs (Service Control Policies) sont des politiques de type garde-fou (guardrail) définies au niveau d'AWS Organizations, permettant de fixer les permissions maximales accordables aux comptes membres d'une organisation ou d'une unité organisationnelle (OU), indépendamment des politiques IAM configurées localement dans chaque compte. Une SCP n'accorde jamais de permission directement : elle agit exclusivement comme un filtre restrictif définissant ce qui reste autorisé après intersection avec les politiques IAM du compte, selon le principe que l'action doit être permise à la fois par la SCP applicable et par une politique IAM identity-based ou resource-based. Les cas d'usage classiques incluent l'interdiction de désactiver CloudTrail ou GuardDuty, le blocage de régions AWS non autorisées (contrainte de souveraineté), l'interdiction de quitter l'organisation, ou la restriction de la création de ressources publiques (buckets S3 publics, groupes de sécurité ouverts). Les SCP s'appliquent en cascade depuis le compte de gestion (management account) vers les OU puis les comptes membres, mais ne s'appliquent jamais au compte de gestion lui-même, une limitation structurelle à connaître en conception d'architecture. Contrairement aux politiques IAM, les SCP ne peuvent pas être contournées par un administrateur local d'un compte membre, ce qui en fait le mécanisme de référence pour implémenter des contrôles préventifs à l'échelle d'un landing zone AWS multi-comptes, en complément détectif des règles AWS Config et Security Hub.