Ein Unternehmen nutzt AWS Organizations und AWS IAM Identity Center (AWS Single Sign-On), um den Zugriff auf mehrere AWS-Konten zu verwalten. Ein Sicherheitsingenieur erstellt einen wiederverwendbaren Berechtigungssatz im IAM Identity Center, der sowohl eine von AWS verwaltete Richtlinie als auch eine vom Kunden verwaltete Richtlinie enthält. Obwohl der Ingenieur über vollständige Administratorberechtigungen im Verwaltungskonto verfügt, schlägt die Zuweisung dieses Berechtigungssatzes an einen Benutzer, der Zugriff auf mehrere Konten hat, fehl. Wie sollte der Ingenieur den Zuweisungsfehler beheben?

Wenn ein Berechtigungssatz im AWS IAM Identity Center eine kundenverwaltete Richtlinie enthält, muss diese Richtlinie in jedem Ziel-AWS-Konto existieren, dem der Berechtigungssatz zugewiesen wird. Das IAM Identity Center erstellt diese kundenverwalteten Richtlinien nicht automatisch in den Zielkonten. Der Fehler bei der Zuweisung tritt auf, weil die referenzierte kundenverwaltete Richtlinie in den Zielkonten fehlt. Der Ingenieur muss sicherstellen, dass die Richtlinie mit demselben Namen und Inhalt in jedem Konto vorhanden ist. Das Trennen von Richtlinien und die Erstellung eines zweiten Berechtigungssatzes ist keine Lösung für das Problem der fehlenden Richtlinie in den Zielkonten. Konflikte zwischen Richtlinien führen in der Regel nicht zu einem Zuweisungsfehler, sondern zu unerwarteten Berechtigungen. Das Ändern eines vorhandenen Berechtigungssatzes hilft nicht, wenn die zugrunde liegende kundenverwaltete Richtlinie in den Zielkonten fehlt.