Votre organisation utilise AWS Organizations et dispose d'une équipe IAM qui gérera AWS IAM Identity Center. L'équipe IAM ne doit disposer que des autorisations minimales nécessaires pour administrer Identity Center et ne doit pas obtenir d'accès inutile au compte de gestion Organizations. L'équipe doit être en mesure de créer de nouveaux ensembles d'autorisations Identity Center et des affectations pour les comptes membres nouveaux et existants. Quelle combinaison d'étapes satisfait ces contraintes ? (Choisissez-en trois.)

La première étape correcte consiste à créer un compte AWS dédié pour l'équipe IAM et à le déléguer comme administrateur pour IAM Identity Center. Cela permet à l'équipe de gérer Identity Center sans avoir un accès excessif au compte de gestion, respectant ainsi le principe du moindre privilège. La délégation doit être configurée depuis le compte de gestion, mais Identity Center est activé dans le compte de gestion lui-même. La deuxième étape correcte est de créer des utilisateurs et un groupe pour l'équipe IAM dans Identity Center, puis de créer un ensemble d'autorisations avec la politique gérée AWSSSOMemberAccountAdministrator. Cette politique fournit les permissions nécessaires pour administrer Identity Center. La troisième étape correcte est d'attribuer ce nouvel ensemble d'autorisations au compte AWS de l'équipe IAM, permettant ainsi au groupe de l'équipe IAM d'assumer ces permissions pour gérer Identity Center. Les options incorrectes impliquent d'activer Identity Center dans le nouveau compte (il doit être activé dans le compte de gestion), d'utiliser une SCP qui bloquerait l'accès (ce qui est contre-productif), ou d'attribuer l'ensemble d'autorisations au compte de gestion (ce qui donnerait un accès excessif au compte de gestion).