L'entreprise a migré les charges de travail de développement et de production vers une nouvelle AWS Organization et a créé des comptes membres distincts pour le développement (dev) et la production (prod). La facturation consolidée est liée au compte de gestion. L'architecte de solutions doit créer un utilisateur IAM dans le compte de gestion qui peut arrêter ou terminer des ressources dans les deux comptes membres. Quelle approche répond à cette exigence ?

La bonne approche consiste à créer un utilisateur IAM unique dans le compte de gestion. Cet utilisateur peut ensuite assumer des rôles spécifiques créés dans chaque compte membre (dev et prod). Chaque rôle inter-comptes dans les comptes membres doit être configuré avec les permissions du moindre privilège (par exemple, ec2:StopInstances, ec2:TerminateInstances) et une politique de confiance qui autorise l'utilisateur IAM du compte de gestion à l'assumer. Cela centralise la gestion des utilisateurs tout en déléguant les permissions spécifiques aux comptes membres, respectant le principe du moindre privilège. Les autres options sont incorrectes car : Créer un rôle inter-comptes dans le compte de gestion pour les comptes membres ne permet pas de déléguer les permissions de manière granulaire et sécurisée à travers les comptes. Créer des utilisateurs IAM dans chaque compte membre est une gestion décentralisée et inefficace. Ajouter un utilisateur IAM du compte de gestion à des groupes IAM dans les comptes membres n'est pas une fonctionnalité IAM standard pour les utilisateurs d'autres comptes.