Una AWS Organization tiene un SCP en la raíz que permite la creación de usuarios de IAM. DevOps debe poder crear usuarios de IAM con cualquier nivel de permisos y debe poder evitar que otros usuarios creen usuarios de IAM. Los desarrolladores deben poder crear usuarios de IAM, pero no deben poder otorgar permisos excesivos. Los desarrolladores tienen un rol CreateAndManageUsers en cada cuenta. ¿Qué combinación de pasos cumplirá estos requisitos? (Elija dos.)

La creación de una política de IAM llamada PermissionBoundaries en cada cuenta es correcta porque esta política establecerá los permisos máximos que un desarrollador puede otorgar a un nuevo usuario de IAM, satisfaciendo el requisito de que los desarrolladores no puedan otorgar permisos excesivos. La creación de una política de IAM llamada DeveloperBoundary en cada cuenta y su adjunción al rol CreateAndManageUsers es correcta porque esta política permitirá a los desarrolladores crear usuarios de IAM y adjuntar políticas, pero solo si especifican la política PermissionBoundaries como límite de permisos. Esto asegura que los desarrolladores puedan crear usuarios dentro de los límites definidos. Las opciones incorrectas son: La primera opción es incorrecta porque denegar la creación de usuarios de IAM en la raíz de la organización impediría que tanto DevOps como los desarrolladores crearan usuarios, lo cual no cumple los requisitos. La segunda opción es incorrecta porque un SCP no puede requerir que un nuevo usuario de IAM incluya una política de límites de permisos; los SCPs se utilizan para establecer permisos máximos, no para forzar la inclusión de políticas. La cuarta opción es incorrecta porque PermissionBoundaries debe definir los permisos máximos que se pueden otorgar, no permitir la creación de usuarios. La creación de usuarios es responsabilidad de la política DeveloperBoundary.