Une entreprise utilise AWS Organizations et AWS IAM Identity Center (AWS Single Sign-On) pour gérer l'accès à plusieurs comptes AWS. Un ingénieur de sécurité crée un ensemble d'autorisations réutilisable dans IAM Identity Center qui inclut à la fois une politique gérée par AWS et une politique gérée par le client. Bien que l'ingénieur dispose de toutes les autorisations administratives dans le compte de gestion, l'attribution de cet ensemble d'autorisations à un utilisateur ayant accès à plusieurs comptes échoue. Comment l'ingénieur doit-il résoudre l'échec d'attribution ?

L'échec d'attribution se produit parce que les politiques gérées par le client (Customer Managed Policies) dans IAM Identity Center sont déployées dans les comptes cibles par le biais de rôles IAM. Pour qu'une politique gérée par le client puisse être attachée à un rôle IAM dans un compte cible, cette politique doit exister dans ce compte. Si la politique n'est pas présente dans un ou plusieurs comptes cibles, l'attribution échoue pour ces comptes. L'ingénieur doit donc s'assurer que la politique gérée par le client est créée et existe dans chaque compte AWS où l'ensemble d'autorisations sera utilisé, avec le même nom et les mêmes autorisations. Les autres options sont incorrectes car : Détacher une politique et créer un deuxième ensemble d'autorisations n'est pas une solution au problème sous-jacent de la politique manquante dans les comptes cibles. Les conflits entre politiques gérées par AWS et politiques gérées par le client sont gérés par l'ordre d'évaluation des politiques IAM et ne causent pas directement un échec d'attribution. Modifier un ensemble d'autorisations existant n'élimine pas l'exigence que la politique gérée par le client existe dans les comptes cibles.