您需要使用 CloudFormation 将 IAM 角色部署到 Organizations 管理账户和所有成员账户，并要求操作开销最小。CloudFormation 的受信任访问已启用，并且组织有 10 个账户。哪种方法能以最少的操作工作量满足要求？

正确答案是创建一个使用服务管理权限的 CloudFormation StackSet，使用根 OU 作为部署目标，同时在 Organizations 管理账户中部署一个单独的 CloudFormation 堆栈。 CloudFormation StackSets 允许您将堆栈部署到 Organizations 中的多个账户和区域。当启用服务管理权限时，StackSets 可以自动在目标账户中创建所需的 IAM 角色，无需手动配置，从而大大减少操作开销。将根 OU 作为部署目标，可以确保 StackSet 部署到组织中的所有成员账户。然而，StackSets 默认不会部署到其自身的管理账户。因此，为了将 IAM 角色部署到管理账户，需要额外创建一个单独的 CloudFormation 堆栈。 其他选项的解释： 仅使用 StackSet 部署到根 OU（无论服务管理还是自管理权限）无法覆盖管理账户。 自管理权限的 StackSet 需要您手动在每个目标账户中预先创建 IAM 角色，这会增加大量操作开销，不符合“最小操作开销”的要求。