La empresa ha migrado las cargas de trabajo de desarrollo y producción a una nueva AWS Organization y ha creado cuentas de miembro separadas para desarrollo y producción. La facturación consolidada está vinculada a la cuenta de administración. El arquitecto de soluciones debe crear un usuario de IAM en la cuenta de administración que pueda detener o terminar recursos en ambas cuentas de miembro. ¿Qué enfoque cumple con este requisito?

La opción correcta permite al usuario de IAM en la cuenta de administración asumir roles en las cuentas de miembro. Esto se logra creando un usuario de IAM en la cuenta de administración y luego creando roles de asunción (cross-account) en cada cuenta de miembro (desarrollo y producción). La política de confianza de cada rol de asunción debe permitir que el usuario de IAM de la cuenta de administración asuma ese rol. Estos roles en las cuentas de miembro deben tener políticas de permisos de mínimo privilegio para detener o terminar recursos. Las otras opciones son incorrectas porque: Crear un rol de cross-account en la cuenta de administración para cuentas de miembro no es la forma estándar de delegar acceso entre cuentas. Crear un usuario de IAM en cada cuenta de miembro no cumple el requisito de tener un único usuario en la cuenta de administración. Agregar un usuario de IAM de la cuenta de administración a grupos de IAM en las cuentas de miembro no es posible, ya que los usuarios de IAM son específicos de la cuenta donde se crean.