Uma organização gerencia usuários centralmente a partir de uma conta de operações e não permite a criação de usuários em contas de workload. A equipe de operações precisa de acesso de administrador a cada conta de workload. Qual combinação de ações fornecerá esse acesso? (Escolha três.)

A organização centraliza o gerenciamento de usuários na conta de operações e proíbe a criação de usuários em contas de workload. Portanto, a criação de usuários IAM na conta de operações para cada membro da equipe é essencial. Para que esses usuários acessem as contas de workload, é necessário um mecanismo de delegação de permissões. A criação de uma função IAM SysAdmin em cada conta de workload, com a política AdministratorAccess e uma política de confiança que permita à conta de operações assumir essa função, estabelece o alvo da delegação. Finalmente, na conta de operações, um grupo IAM SysAdmins com uma política que permite sts:AssumeRole para a função SysAdmin em cada conta de workload, e a adição dos usuários a este grupo, completa a configuração. A opção "Crie uma função IAM SysAdmin na conta de operações, anexe AdministratorAccess e modifique sua relação de confiança para permitir sts:AssumeRole de contas de workload" está incorreta porque a função de administrador precisa estar na conta de workload para conceder acesso a essa conta, não na conta de operações. As opções de Amazon Cognito não são o mecanismo apropriado para delegação de acesso entre contas AWS neste cenário.