Uma empresa usa o AWS Organizations e o AWS IAM Identity Center (AWS Single Sign-On) para gerenciar o acesso em várias contas AWS. Um engenheiro de segurança cria um conjunto de permissões reutilizável no IAM Identity Center que inclui uma política gerenciada pela AWS e uma política gerenciada pelo cliente. Embora o engenheiro tenha permissões administrativas completas na conta de gerenciamento, a atribuição desse conjunto de permissões a um usuário que tem acesso a várias contas falha. Como o engenheiro deve resolver a falha de atribuição?

Quando você atribui um conjunto de permissões do IAM Identity Center que inclui uma política gerenciada pelo cliente, essa política deve existir em cada conta de destino onde o conjunto de permissões será aplicado. O IAM Identity Center não cria automaticamente políticas gerenciadas pelo cliente nas contas de membros. A falha na atribuição ocorre porque a política gerenciada pelo cliente não foi encontrada nas contas de destino. As outras opções estão incorretas porque: desanexar políticas e criar um segundo conjunto de permissões não resolve a necessidade da política gerenciada pelo cliente existir em cada conta; revisar conflitos de políticas é uma boa prática, mas não aborda a ausência da política; e modificar um conjunto de permissões existente não resolve o problema subjacente da política gerenciada pelo cliente não estar presente nas contas de destino.