Você precisa implantar uma função IAM na conta de gerenciamento do Organizations e em todas as contas de membros usando o CloudFormation, com o mínimo de sobrecarga operacional. O acesso confiável para o CloudFormation está habilitado e a organização tem 10 contas. Qual abordagem atende ao requisito com o mínimo de trabalho operacional?

A opção correta é criar um CloudFormation StackSet com permissões gerenciadas por serviço, usando a OU raiz como destino, e também implantar uma stack separada na conta de gerenciamento. StackSets com permissões gerenciadas por serviço são ideais para implantar recursos em várias contas em uma organização, pois o AWS Organizations gerencia as permissões de implantação, reduzindo a sobrecarga operacional. A OU raiz garante que a função seja implantada em todas as contas existentes e futuras. No entanto, StackSets não podem implantar recursos na conta de gerenciamento do Organizations diretamente quando a OU raiz é o destino, por isso uma stack separada é necessária para essa conta específica. As opções que usam permissões autogerenciadas aumentam a sobrecarga operacional, pois exigem a configuração manual de funções de serviço em cada conta.