Une organisation exige une gouvernance avec les contraintes suivantes : restreindre l'accès aux ressources aux deux mêmes Régions pour tous les comptes ; limiter les services AWS autorisés à un ensemble spécifique ; utiliser Active Directory pour l'authentification ; et avoir des autorisations identiques basées sur les fonctions dans chaque compte. Quelle solution répond à ces exigences ?

La bonne réponse est la seule qui réponde à toutes les exigences. Les politiques de contrôle de service (SCP) sont le moyen le plus efficace de restreindre les Régions et les services autorisés dans tous les comptes d'une organisation, car elles sont appliquées au niveau de l'OU ou de la racine et héritées par tous les comptes enfants. AWS CloudFormation StackSets permet de déployer des rôles IAM identiques basés sur les fonctions dans plusieurs comptes, garantissant ainsi des autorisations cohérentes. L'utilisation d'un fournisseur d'identité externe (comme Active Directory via AWS IAM Identity Center) est la méthode standard pour l'authentification centralisée. Les autres options sont incorrectes car : L'utilisation de politiques de groupe (Group Policies) ou de limites d'autorisations (Permissions Boundaries) ne permet pas de restreindre les Régions et les services au niveau de l'organisation de manière aussi centralisée et efficace que les SCP. Les limites d'autorisations s'appliquent aux entités IAM individuelles, pas aux comptes entiers. L'utilisation d'AWS RAM pour partager des rôles du compte de gestion n'est pas la méthode standard pour provisionner des rôles spécifiques à chaque compte et ne répond pas à l'exigence d'un fournisseur d'identité externe pour l'authentification.