Nach einer Fusion verfügt das Unternehmen über mehrere bestehende AWS-Konten für verschiedene Geschäftsbereiche. Ein zentrales Verwaltungskonto hat Einladungen an Mitgliedskonten gesendet, um einer AWS Organization beizutreten. Der Lösungsarchitekt muss die zentrale Abrechnung und die zentrale Verwaltung von Zugriffsrichtlinien ermöglichen. Was ist der nächste Schritt, damit das Verwaltungskonto die Mitgliedskonten verwalten kann?

Um die Verwaltung von Mitgliedskonten durch das Verwaltungskonto zu ermöglichen, muss in jedem Mitgliedskonto eine IAM-Rolle (standardmäßig OrganizationAccountAccessRole) erstellt werden. Diese Rolle muss eine Vertrauensrichtlinie haben, die dem Verwaltungskonto erlaubt, sie zu übernehmen. Dadurch können Benutzer oder Rollen im Verwaltungskonto die Berechtigungen dieser Rolle in den Mitgliedskonten annehmen und so Verwaltungsaufgaben durchführen. Die Option, eine IAM-Gruppe zu erstellen, ist falsch, da Gruppen keine kontoübergreifende Übernahme ermöglichen. Das Erstellen einer IAM-Richtlinie allein ist ebenfalls unzureichend, da Richtlinien Berechtigungen definieren, aber keine Übernahme durch andere Konten ermöglichen. Das Erstellen einer Rolle im Verwaltungskonto und deren Zuweisung an Administratoren in Mitgliedskonten ist nicht der richtige Ansatz für die kontoübergreifende Verwaltung; die Rolle muss im Zielkonto existieren.