Une entreprise possède plusieurs comptes membres dans une AWS Organization. L'équipe de sécurité doit lister par programme chaque groupe de sécurité Amazon EC2 et ses règles entrantes/sortantes à travers les comptes membres à l'aide d'une fonction AWS Lambda exécutée dans le compte de gestion. Quelle combinaison de modifications IAM/de relations d'approbation permettra à la fonction Lambda du compte de gestion de récupérer ces informations des comptes membres ? (Choisissez-en trois.)

Pour permettre à la fonction Lambda du compte de gestion d'accéder aux informations des comptes membres, il faut établir une délégation de rôles inter-comptes. Premièrement, dans chaque compte membre, un rôle IAM doit être créé avec la politique gérée AmazonEC2ReadOnlyAccess pour accorder les permissions nécessaires pour lister les groupes de sécurité et leurs règles. Deuxièmement, la relation d'approbation de ce rôle dans chaque compte membre doit permettre au compte de gestion (spécifiquement, au rôle que la fonction Lambda assumera) d'assumer ce rôle. Troisièmement, dans le compte de gestion, le rôle que la fonction Lambda assumera doit avoir une politique qui lui permet d'appeler sts:AssumeRole sur les ARN des rôles créés dans les comptes membres. Les options incorrectes proposent des configurations qui ne permettraient pas l'accès souhaité ou qui sont mal configurées pour le scénario de délégation inter-comptes. Par exemple, permettre aux mandataires des comptes membres d'assumer un rôle dans le compte de gestion est l'inverse de ce qui est requis. Créer un rôle IAM dans le compte de gestion avec AmazonEC2ReadOnlyAccess ne lui donnerait pas accès aux ressources des comptes membres.