Su organización utiliza AWS Organizations y tiene un equipo de IAM que administrará AWS IAM Identity Center. El equipo de IAM debe tener solo los permisos mínimos necesarios para administrar Identity Center y no debe obtener acceso innecesario a la cuenta de administración de Organizations. El equipo debe poder crear nuevos conjuntos de permisos y asignaciones de Identity Center tanto para cuentas de miembros nuevas como existentes. ¿Qué combinación de pasos satisface estas restricciones? (Elija tres).

La delegación de la administración de IAM Identity Center a una cuenta miembro permite al equipo de IAM gestionar Identity Center sin acceso innecesario a la cuenta de administración, cumpliendo el requisito de privilegios mínimos. Habilitar Identity Center en la cuenta de administración es un paso previo necesario. Crear usuarios y grupos en Identity Center y asignarles el conjunto de permisos AWSSSOMemberAccountAdministrator les otorga los permisos necesarios para administrar Identity Center, incluyendo la creación de conjuntos de permisos y asignaciones. Finalmente, asignar este conjunto de permisos a la cuenta delegada del equipo de IAM permite que los miembros del equipo operen con los permisos definidos. La opción incorrecta de crear una SCP para denegar acceso a Identity Center es contraproducente, ya que el equipo necesita administrarlo. Asignar el conjunto de permisos a la cuenta de administración de Organizations no es ideal, ya que el objetivo es delegar la administración a una cuenta separada para mantener el principio de privilegio mínimo en la cuenta de administración.