Uma empresa deseja que os desenvolvedores comprem software de terceiros aprovado apenas por meio de um Private Marketplace no AWS Marketplace. A empresa usa o AWS Organizations com todos os recursos habilitados e tem uma conta de serviços compartilhados em cada OU para gerentes de compras. A administração de compras deve ser limitada a uma função chamada procurement-manager-role (assumível por gerentes de compras). Todos os outros usuários, grupos, funções e administradores de conta do IAM devem ter o acesso administrativo ao Private Marketplace negado. Qual é a arquitetura MAIS eficiente para atender a esses requisitos?

A opção correta atende a todos os requisitos. Criar a procurement-manager-role nas contas de serviços compartilhados e anexar AWSPrivateMarketplaceAdminFullAccess garante que apenas os gerentes de compras nessas contas tenham as permissões necessárias. O SCP no nível raiz que nega a administração do Private Marketplace a todos, exceto a essa função específica, implementa o controle centralizado. O segundo SCP impede a criação de outras funções com o mesmo nome, reforçando a segurança e a governança. As outras opções são incorretas porque: A primeira opção anexa PowerUserAccess em vez de AWSPrivateMarketplaceAdminFullAccess e tenta negar permissões individualmente, o que é menos eficiente e escalável do que um SCP. A segunda opção usa AdministratorAccess e limites de permissão, que não são a forma mais eficaz de restringir o acesso ao Private Marketplace em toda a organização. A quarta opção aplica o SCP apenas às contas de serviços compartilhados, não a todas as contas da organização, e não impede a criação de funções com o mesmo nome em outras contas.