Um desenvolvedor em uma conta AWS de desenvolvimento compartilhada precisa criar perfis vinculados a serviços para serviços usados em uma prova de conceito. A conta faz parte de uma AWS Organization. O desenvolvedor deve ser capaz de criar e configurar perfis vinculados a serviços, e nada mais. Qual abordagem atende a esse requisito?

A criação de um perfil do IAM com permissões específicas para criar perfis vinculados a serviços, combinada com um limite de permissões, é a abordagem mais segura e granular. Isso garante que o desenvolvedor possa realizar apenas as ações necessárias (criar e configurar perfis vinculados a serviços) e nada mais, aderindo ao princípio do privilégio mínimo. A opção de criar um usuário na conta de gerenciamento do Organizations e usar um perfil de conta cruzada é desnecessariamente complexa e não aborda diretamente a limitação das permissões de criação de perfis vinculados a serviços. A política PowerUserAccess concede permissões muito amplas, indo contra o requisito de "nada mais". Anexar uma SCP que nega ações iam: na conta de desenvolvimento impediria o desenvolvedor de criar qualquer perfil, incluindo os vinculados a serviços, o que não atende ao requisito.