Un desarrollador en una cuenta de AWS de desarrollo compartida necesita crear roles vinculados a servicios para los servicios utilizados en una prueba de concepto. La cuenta forma parte de una AWS Organization. El desarrollador debe poder crear y configurar roles vinculados a servicios, y nada más. ¿Qué enfoque cumple este requisito?

La opción correcta es crear un rol de IAM con permisos específicos para crear políticas y roles, y adjuntar un límite de permisos (permissions boundary) para restringir su alcance. Esto permite al desarrollador realizar las acciones necesarias para los roles vinculados a servicios sin otorgar acceso excesivo, ya que el límite de permisos asegura que el rol no pueda exceder los permisos definidos en el límite. Las otras opciones son incorrectas porque: Crear un usuario en la cuenta de administración y un rol de cuenta cruzada es una configuración compleja y no es el método más directo para este caso. La política PowerUserAccess otorga demasiados permisos, excediendo el requisito de "nada más". Una SCP que deniegue iam: bloquearía la capacidad del desarrollador para crear roles vinculados a servicios, lo cual es lo opuesto a lo requerido.