Una empresa utiliza AWS Organizations y AWS IAM Identity Center (AWS Single Sign-On) para gestionar el acceso a través de múltiples cuentas de AWS. Un ingeniero de seguridad crea un conjunto de permisos reutilizable en IAM Identity Center que incluye tanto una política administrada por AWS como una política administrada por el cliente. Aunque el ingeniero tiene permisos administrativos completos en la cuenta de administración, la asignación de este conjunto de permisos a un usuario que tiene acceso a múltiples cuentas falla. ¿Cómo debería el ingeniero resolver el fallo de asignación?

La respuesta correcta es asegurar que la política administrada por el cliente exista en cada cuenta de destino. Cuando se utiliza AWS IAM Identity Center con políticas administradas por el cliente, estas políticas deben estar presentes en cada cuenta de miembro donde se asignará el conjunto de permisos. IAM Identity Center no replica automáticamente las políticas administradas por el cliente en las cuentas de miembro; solo hace referencia a ellas. Si la política no existe en una cuenta de destino, la asignación del conjunto de permisos fallará para esa cuenta. Las otras opciones son incorrectas: Desvincular políticas y crear un segundo conjunto de permisos no resuelve el problema subyacente de la ausencia de la política administrada por el cliente en las cuentas de destino. Revisar conflictos en las declaraciones de políticas no es la causa del fallo de asignación en este escenario, ya que el problema es la existencia de la política, no su contenido. Modificar un conjunto de permisos existente no aborda el requisito de que la política administrada por el cliente esté presente en cada cuenta de destino.