Uma função Lambda que cria contas AWS por meio da API Organizations atualmente é executada na conta de gerenciamento. Você deve mover essa função Lambda para uma conta AWS separada, mas ainda permitir que ela crie contas na organização, com sua capacidade restrita apenas ao Organizations. Qual abordagem atende a esse requisito antes de implantar a função Lambda na conta dedicada?

A abordagem correta envolve a criação de uma função IAM na conta de gerenciamento com as permissões necessárias para criar contas no AWS Organizations (organizations:CreateAccount). Esta função terá uma política de confiança que permite que a função de execução do Lambda na conta dedicada a assuma. O código Lambda será então atualizado para assumir essa função antes de fazer chamadas para o Organizations, garantindo que as operações sejam realizadas com os privilégios da conta de gerenciamento. Isso adere ao princípio do menor privilégio e permite a delegação segura de permissões entre contas. A opção de administração delegada para o Organizations não permite a criação direta de contas de membro por uma conta delegada; ela é mais para gerenciar aspectos do Organizations. A opção de permitir que o principal de serviço do Lambda assuma uma função na conta de gerenciamento não é ideal para chamadas entre contas, pois o Lambda na conta dedicada precisa assumir a função na conta de gerenciamento. Habilitar o AWS Control Tower é uma solução mais ampla e não é estritamente necessário apenas para delegar a criação de contas, além de introduzir uma dependência em um serviço diferente.