Uma empresa gerenciará muitas contas AWS para diferentes departamentos a partir de um local central. A equipe de segurança deve ter acesso somente leitura a todas as contas a partir de sua própria conta AWS. A empresa usa o AWS Organizations e criou uma conta para a equipe de segurança. Qual é a maneira correta para o arquiteto de soluções fornecer à equipe de segurança acesso somente leitura às contas de membro?

A opção correta é criar uma nova role do IAM com acesso somente leitura em cada conta de membro. Esta role deve ter uma relação de confiança que permita que a conta de segurança a assuma. A equipe de segurança então assume essa role para obter acesso. Isso é seguro e escalável, pois centraliza o controle de acesso na conta de segurança e delega permissões específicas (somente leitura) para as contas de membro. A primeira opção está incorreta porque a OrganizationAccountAccessRole é uma role padrão criada pelo AWS Organizations para acesso de gerenciamento, não para ser usada diretamente para criar políticas de acesso somente leitura em contas de membro. Além disso, a relação de confiança é configurada em uma role, não em uma política. A terceira e a quarta opções estão incorretas porque a OrganizationAccountAccessRole é uma role de acesso administrativo para a conta de gerenciamento e não deve ser usada para acesso somente leitura por equipes de segurança em contas de membro. Além disso, a OrganizationAccountAccessRole é criada automaticamente em cada conta de membro, mas não é a role ideal para ser assumida diretamente pela equipe de segurança para acesso somente leitura. A criação de uma role específica para a equipe de segurança com permissões mínimas necessárias é a melhor prática de segurança.