A empresa migrou cargas de trabalho de desenvolvimento e produção para uma nova AWS Organization e criou contas de membro separadas para dev e prod. O faturamento consolidado está vinculado à conta de gerenciamento. O arquiteto de soluções deve criar um usuário IAM na conta de gerenciamento que possa interromper ou encerrar recursos em ambas as contas de membro. Qual abordagem cumpre esse requisito?

A abordagem correta é criar um usuário IAM na conta de gerenciamento e, em cada conta de membro (dev e prod), criar funções de acesso entre contas (cross-account roles) com permissões de privilégio mínimo. A política de confiança dessas funções deve permitir que o usuário IAM da conta de gerenciamento as assuma. Isso permite que um único usuário na conta de gerenciamento gerencie recursos em contas de membro de forma segura e escalável, sem duplicar usuários ou credenciais. A primeira opção está incorreta porque sugere criar a função de acesso entre contas na conta de gerenciamento, quando ela deve ser criada nas contas de membro para conceder acesso a elas. A segunda opção é ineficiente, pois exige a criação de usuários IAM em cada conta de membro. A terceira opção não é viável, pois um usuário IAM de uma conta não pode ser adicionado diretamente a grupos IAM em outras contas.