Eine Organisation benötigt Governance mit den folgenden Einschränkungen: Beschränkung des Ressourcenzugriffs auf dieselben zwei Regionen für alle Konten; Beschränkung der zulässigen AWS-Services auf einen bestimmten Satz; Verwendung von Active Directory zur Authentifizierung; und identische, auf Jobfunktionen basierende Berechtigungen in jedem Konto. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Antwort ist die beste Lösung, da Service Control Policies (SCPs) in AWS Organizations verwendet werden, um Regionen und zulässige Services auf Organisationsebene einzuschränken. SCPs werden im Verwaltungskonto erstellt und gelten für alle Konten in der Organisation oder bestimmten OUs. AWS CloudFormation StackSets sind ideal, um identische Rollen in mehreren Konten bereitzustellen, was die Verwaltung von Berechtigungen basierend auf Jobfunktionen über alle Konten hinweg vereinfacht. Die IAM-Vertrauensrichtlinie für einen externen Identitätsanbieter (wie Active Directory) ermöglicht die Authentifizierung über Active Directory, wie gefordert. Falsche Optionen: Gruppenrichtlinien sind kein AWS-Konzept für die Ressourcenzugriffsbeschränkung. Berechtigungsgrenzen (Permissions Boundaries) definieren die maximalen Berechtigungen für eine IAM-Entität, können aber nicht den Ressourcenzugriff auf Regionen oder Services auf Organisationsebene einschränken. AWS Resource Access Manager (AWS RAM) wird zum Teilen von Ressourcen zwischen Konten verwendet, nicht zum Teilen von IAM-Rollen für die Authentifizierung. AWS IAM Identity Center kann Active Directory integrieren, aber das Teilen von Rollen über RAM ist nicht der richtige Ansatz für diese Anforderung.