Una organización utiliza AWS Control Tower para administrar su landing zone de AWS Organizations y ha definido una estructura de OU y cuentas principales. El equipo de DevOps creó una cuenta centralizada para alojar recursos de CloudFormation y AWS Service Catalog. La empresa quiere permitir que las cuentas miembro soliciten un conjunto de personalizaciones a través de AWS Control Tower. ¿Qué pasos, tomados en conjunto, proporcionarán esta capacidad? (Selecciona tres).

Para permitir personalizaciones a través de AWS Control Tower, primero se necesita una plantilla de CloudFormation que defina los recursos para cada personalización. Luego, cada plantilla de CloudFormation debe convertirse en un producto de AWS Service Catalog. Finalmente, se requiere un rol de IAM específico, AWSControlTowerBlueprintAccess, con una política de confianza que permita al rol AWSControlTowerAdmin de la cuenta de administración asumirlo, y la política AWSServiceCatalogAdminFullAccess adjunta. Esto permite que Control Tower implemente los productos de Service Catalog en las cuentas miembro. Habilitar el acceso de confianza para CloudFormation con Organizations es incorrecto porque no es el mecanismo principal para implementar personalizaciones de Control Tower. Crear un CloudFormation StackSet es incorrecto porque, si bien puede implementar recursos en varias cuentas, no es el método preferido para las personalizaciones de Control Tower que utilizan Service Catalog. Implementar el stack de CfCT es incorrecto porque CfCT es una solución para personalizar Control Tower, pero no es el paso directo para permitir que las cuentas miembro soliciten personalizaciones a través de Service Catalog.