Une entreprise souhaite que les développeurs achètent des logiciels tiers approuvés uniquement via une Private Marketplace dans AWS Marketplace. L'entreprise utilise AWS Organizations avec toutes les fonctionnalités activées et dispose d'un compte de services partagés dans chaque OU pour les responsables des achats. L'administration des achats doit être limitée à un rôle nommé procurement-manager-role (qui peut être assumé par les responsables des achats). Tous les autres utilisateurs, groupes, rôles IAM et administrateurs de compte doivent se voir refuser l'accès administratif à la Private Marketplace. Quelle est l'architecture la PLUS efficace pour répondre à ces exigences ?

La solution correcte répond à toutes les exigences de manière efficace. En créant le procurement-manager-role uniquement dans les comptes de services partagés et en lui attachant AWSPrivateMarketplaceAdminFullAccess, seuls les responsables des achats désignés peuvent administrer la Private Marketplace. La première SCP au niveau de la racine refuse l'accès administratif à tous, sauf à ce rôle spécifique, assurant un contrôle centralisé. La deuxième SCP empêche la création d'autres rôles avec le même nom, renforçant la sécurité et empêchant l'escalade de privilèges. Les options incorrectes échouent pour plusieurs raisons : La première option utilise PowerUserAccess qui n'est pas spécifique à la Private Marketplace et nécessite des politiques en ligne complexes dans chaque compte, ce qui est difficile à gérer et à maintenir. La deuxième option utilise AdministratorAccess avec une limite d'autorisations, ce qui est moins restrictif que nécessaire et ne cible pas spécifiquement l'administration de la Private Marketplace pour tous les autres utilisateurs. La quatrième option applique la SCP uniquement aux comptes de services partagés, ce qui ne couvrirait pas les autres comptes de l'organisation où les développeurs pourraient tenter d'accéder à la Private Marketplace. De plus, elle ne restreint pas la création du rôle.