Sie müssen eine IAM-Rolle mit CloudFormation im Verwaltungskonto von Organizations und in allen Mitgliedskonten bereitstellen, und zwar mit dem geringsten Betriebsaufwand. Der vertrauenswürdige Zugriff für CloudFormation ist aktiviert, und die Organisation umfasst 10 Konten. Welcher Ansatz erfüllt die Anforderung mit minimalem Betriebsaufwand?

Die korrekte Option ist, ein CloudFormation StackSet mit dienstverwalteten Berechtigungen zu erstellen, die Root-OU als Bereitstellungsziel zu verwenden und zusätzlich einen separaten CloudFormation-Stack im Verwaltungskonto bereitzustellen. Dienstverwaltete Berechtigungen sind der Ansatz mit dem geringsten Betriebsaufwand, da AWS die erforderlichen Berechtigungen in den Zielkonten automatisch verwaltet. Die Root-OU als Bereitstellungsziel stellt sicher, dass die IAM-Rolle in allen Mitgliedskonten bereitgestellt wird. Da StackSets keine Ressourcen direkt im Verwaltungskonto bereitstellen können, ist ein separater CloudFormation-Stack im Verwaltungskonto erforderlich, um die Rolle dort bereitzustellen und die Anforderung vollständig zu erfüllen. Die Option, nur ein StackSet mit dienstverwalteten Berechtigungen zu verwenden, ist falsch, da das Verwaltungskonto nicht abgedeckt wird. Die Optionen, die selbstverwaltete Berechtigungen verwenden, sind betrieblich aufwendiger, da Sie die IAM-Rollen und Berechtigungen in jedem Zielkonto manuell konfigurieren und verwalten müssten.