Une entreprise gérera de nombreux comptes AWS pour différents départements à partir d'un emplacement central. L'équipe de sécurité doit avoir un accès en lecture seule à chaque compte depuis son propre compte AWS. L'entreprise utilise AWS Organizations et a créé un compte pour l'équipe de sécurité. Quelle est la bonne façon pour l'architecte de solutions de fournir à l'équipe de sécurité un accès en lecture seule aux comptes membres ?

La bonne approche consiste à créer un nouveau rôle IAM dans chaque compte membre, car cela permet une gestion centralisée et sécurisée des autorisations. En configurant une relation d'approbation sur ce rôle pour le compte de sécurité, celui-ci peut assumer le rôle et obtenir un accès en lecture seule spécifique à chaque compte, sans avoir besoin de créer des utilisateurs IAM dans chaque compte. L'option incorrecte qui utilise le rôle OrganizationAccountAccessRole pour créer une nouvelle politique IAM est erronée car les politiques IAM ne sont pas assumées directement ; ce sont les rôles qui le sont. Les options impliquant l'appel d'AssumeRole sur OrganizationAccountAccessRole directement depuis le compte de gestion ou chaque compte membre sont incorrectes car OrganizationAccountAccessRole est un rôle par défaut qui ne doit pas être modifié et n'est pas conçu pour être assumé directement par des entités externes pour un accès spécifique.