Das Unternehmen hat Entwicklungs- und Produktions-Workloads in eine neue AWS Organization migriert und separate Mitgliedskonten für Entwicklung und Produktion erstellt. Die konsolidierte Abrechnung ist mit dem Verwaltungskonto verknüpft. Der Lösungsarchitekt muss einen IAM-Benutzer im Verwaltungskonto erstellen, der Ressourcen in beiden Mitgliedskonten stoppen oder beenden kann. Welcher Ansatz erfüllt diese Anforderung?

Die korrekte Lösung ist, einen IAM-Benutzer im Verwaltungskonto zu erstellen und in jedem Mitgliedskonto Cross-Account-Rollen mit Least-Privilege-Berechtigungen zu definieren. Der IAM-Benutzer im Verwaltungskonto erhält dann die Berechtigung, diese Rollen in den Mitgliedskonten zu übernehmen. Dies ist der empfohlene und sicherste Weg, um zentralisierte Kontrolle über Ressourcen in AWS Organizations zu ermöglichen, da der Benutzer keine direkten Berechtigungen in den Mitgliedskonten besitzt, sondern diese über die Rollenübernahme erhält. Die erste Option ist falsch, da eine Cross-Account-Rolle im Verwaltungskonto keinen Zugriff auf Ressourcen in Mitgliedskonten gewährt. Die zweite Option ist ineffizient und unsicher, da sie die Erstellung von IAM-Benutzern in jedem Mitgliedskonto erfordert und eine Cross-Account-Rolle im Verwaltungskonto nicht die gewünschte Funktionalität bietet. Die dritte Option ist ebenfalls falsch, da IAM-Benutzer aus dem Verwaltungskonto nicht direkt IAM-Gruppen in Mitgliedskonten hinzugefügt werden können.