Une fonction Lambda qui crée des comptes AWS via l'API Organizations s'exécute actuellement dans le compte de gestion. Vous devez déplacer cette fonction Lambda vers un compte AWS distinct, tout en lui permettant de créer des comptes dans l'organisation, avec sa capacité limitée à Organizations uniquement. Quelle approche répond à cette exigence avant de déployer la fonction Lambda dans le compte dédié ?

L'approche correcte consiste à utiliser un rôle IAM inter-comptes. Le compte de gestion crée un rôle avec les autorisations nécessaires pour créer des comptes dans AWS Organizations et établit une relation de confiance avec le rôle d'exécution Lambda du compte dédié. La fonction Lambda dans le compte dédié assume ensuite ce rôle du compte de gestion avant d'appeler les API Organizations. Cela garantit que la fonction Lambda opère avec les privilèges du compte de gestion pour les actions Organizations, tout en étant hébergée dans un compte distinct. Les autres options sont incorrectes car : L'administration déléguée pour Organizations ne permet pas directement à un compte membre de créer d'autres comptes sans un mécanisme d'assomption de rôle ou un rôle de service spécifique. Créer un rôle assumable par le principal de service Lambda dans le compte de gestion ne permettrait pas à une fonction Lambda d'un autre compte de l'assumer directement. AWS Control Tower est une solution de gouvernance qui simplifie la configuration d'un environnement multi-comptes, mais la question porte spécifiquement sur l'API Organizations et ne mentionne pas Control Tower comme exigence.