某公司在 AWS Organizations 中有多个成员账户。安全团队需要使用在管理账户中运行的 AWS Lambda 函数，以编程方式列出所有成员账户中的每个 Amazon EC2 安全组及其入站/出站规则。IAM/信任关系的哪些组合将允许管理账户的 Lambda 从成员账户中检索此信息？（选择三项。）

要实现此目标，管理账户中的 Lambda 函数需要能够代入每个成员账户中的角色。选项B、C和E共同描述了这种跨账户访问的正确配置。 选项B是正确的，因为它描述了信任关系的关键部分：允许管理账户中的主体代入成员账户中的角色。这是跨账户访问的基础。 选项C是正确的，因为它指定了成员账户中所需角色的权限。AmazonEC2ReadOnlyAccess 托管策略提供了读取EC2安全组信息所需的最小权限。 选项E是正确的，因为它描述了管理账户中Lambda函数所使用的角色的权限。该策略必须允许对成员账户中角色的ARN执行sts:AssumeRole操作，才能成功代入。 选项A是错误的，因为它描述了相反的信任方向（成员账户代入管理账户），这不符合题目要求。 选项D是错误的，因为成员账户中的角色不应该允许代入管理账户中的角色来完成此任务。 选项F是错误的，因为管理账户中的角色需要代入成员账户中的角色来获取信息，而不是直接拥有AmazonEC2ReadOnlyAccess策略。