Eine Organisation verwaltet Benutzer zentral über ein Operations-Konto und untersagt die Erstellung von Benutzern in Workload-Konten. Das Operations-Team benötigt Administratorzugriff auf jedes Workload-Konto. Welche Kombination von Aktionen ermöglicht diesen Zugriff? (Wählen Sie drei.)

Die korrekte Lösung besteht aus drei Schritten, um Administratorzugriff auf Workload-Konten zu ermöglichen, während Benutzer zentral verwaltet werden. Zuerst erstellen Sie in jedem Workload-Konto eine IAM-Rolle (z.B. "SysAdmin") mit der Berechtigung "AdministratorAccess". Die Vertrauensrichtlinie dieser Rolle muss so konfiguriert werden, dass das Operations-Konto diese Rolle annehmen darf. Zweitens erstellen Sie im Operations-Konto IAM-Benutzer für jedes Mitglied des Operations-Teams. Drittens erstellen Sie im Operations-Konto eine IAM-Gruppe (z.B. "SysAdmins") und fügen eine Richtlinie hinzu, die es den Mitgliedern dieser Gruppe erlaubt, die "SysAdmin"-Rolle in den Workload-Konten mittels sts:AssumeRole anzunehmen. Alle Operations-Teammitglieder werden dieser Gruppe hinzugefügt. Die Option, eine SysAdmin IAM-Rolle im Operations-Konto zu erstellen und deren Vertrauensstellung zu ändern, um sts:AssumeRole von Workload-Konten zuzulassen, ist falsch, da dies den Workload-Konten erlauben würde, Rollen im Operations-Konto anzunehmen, nicht umgekehrt. Cognito Identity Pools und User Pools sind für die Benutzerauthentifizierung in Anwendungen gedacht und nicht die primäre Methode für die kontoübergreifende IAM-Verwaltung in diesem Szenario.