c1.2 Selecciona Regiones y bloquea el resto
Decide en qué Regiones de AWS operas y bloquea las demás en todas las cuentas — con Service Control Policies (o el control de denegación de Regiones de AWS Control Tower) — para reducir la superficie de ataque y contener el costo.
Guía de implementación
Restringe dónde se pueden crear recursos
Elige la(s) Región(es) que tu organización usa y deniega el resto. Aplícalo en todas las cuentas con Service Control Policies de AWS Organizations o, si usas AWS Control Tower, con su control de denegación de Regiones en la landing zone.
Es un guardrail fundamental: reduce la superficie de ataque (los adversarios suelen levantar recursos en Regiones sin uso para minar cripto o correr botnets), mantiene los datos en jurisdicciones aprobadas y reduce lo que debes monitorear. Consulta el control de guardrails relacionado para ver cómo encajan las SCPs.
Ejemplo de SCP de denegación de Regiones
Esta política deniega acciones fuera de tus Regiones aprobadas, permitiendo los servicios globales que operan a través de una Región específica. Ajusta las Regiones permitidas y adjúntala a una OU (prueba primero en no producción):
{
"Version": "2012-10-17",
"Statement": [{
"Sid": "DenyOutsideApprovedRegions",
"Effect": "Deny",
"NotAction": [
"iam:*", "cloudfront:*", "route53:*",
"organizations:*", "sts:*", "support:*"
],
"Resource": "*",
"Condition": {
"StringNotEquals": {
"aws:RequestedRegion": ["us-east-1", "eu-west-1"]
}
}
}]
}Notas
Algunos servicios globales (como IAM, CloudFront y Route 53) operan a través de una Región específica y deben permitirse en tu política. Prueba las SCPs de denegación de Regiones primero en una OU de no producción, ya que una denegación demasiado amplia puede bloquear operaciones legítimas.
Cómo validar
- ¿La organización definió en qué Regiones opera?
- ¿Hay cargas de trabajo en Regiones que tu política prohíbe?
- ¿Las Regiones prohibidas están efectivamente bloqueadas (SCP o Control Tower), no solo documentadas?
Amenazas que atiende
- Las Regiones sin uso son un punto ciego: los adversarios crean recursos ahí (cryptomining, botnets) precisamente porque nadie observa. Bloquear las Regiones sin uso elimina esa oportunidad y limita el costo asociado.
Servicios AWS
AWS Organizations 
AWS Control Tower Precios
AWS Organizations y las SCPs son gratis. AWS Control Tower no tiene cargo adicional — solo pagas por los servicios que habilita (como AWS Config). Consulta los precios de Control Tower.