Uma organização exige governança com as seguintes restrições: restringir o acesso a recursos às mesmas duas Regiões para todas as contas; limitar os serviços AWS permitidos a um conjunto específico; usar o Active Directory para autenticação; e ter permissões idênticas baseadas na função de trabalho em todas as contas. Qual solução atende a esses requisitos?

A solução correta utiliza uma Política de Controle de Serviço (SCP) na conta de gerenciamento para impor restrições de Região e serviço em todas as contas da organização. SCPs são ideais para governança em nível de organização, pois negam explicitamente ações, mesmo que uma política de permissão as permita. O AWS CloudFormation StackSets é a ferramenta apropriada para provisionar consistentemente as mesmas funções baseadas em trabalho em todas as contas, garantindo permissões idênticas. A política de confiança do IAM para um provedor de identidade externo (como o Active Directory) permite a autenticação centralizada. As opções incorretas são: A primeira opção menciona "políticas de grupo", que não é um conceito nativo do AWS Organizations para governança de permissões. A segunda opção sugere um "limite de permissão na conta de gerenciamento", que se aplica a uma entidade IAM específica e não a todas as contas da organização para governança geral. A terceira opção propõe o AWS RAM para compartilhar funções, mas o AWS RAM é para compartilhar recursos, não para provisionar ou gerenciar funções de IAM em várias contas. Além disso, o AWS IAM Identity Center (antigo AWS SSO) é uma solução de identidade, mas a questão especifica o uso do Active Directory para autenticação, o que é melhor gerenciado com um provedor de identidade externo e políticas de confiança.