Dopo una fusione, l'azienda dispone di più account AWS esistenti per diverse unità aziendali. Un account di gestione centrale ha inviato inviti agli account membri per unirsi a un'AWS Organization. L'architetto di soluzioni deve abilitare la fatturazione centralizzata e la gestione centralizzata delle policy di accesso. Qual è il passo successivo per consentire all'account di gestione di gestire gli account membri?

Per consentire all'account di gestione di amministrare gli account membri in AWS Organizations, è necessario che ogni account membro crei un ruolo IAM con una policy di trust che permetta all'account di gestione di assumerlo. Il ruolo predefinito per questo scopo è OrganizationAccountAccessRole. Assumendo questo ruolo, gli amministratori dell'account di gestione possono operare all'interno degli account membri con i permessi definiti nel ruolo. Le opzioni errate sono: Creare un gruppo IAM non è sufficiente, poiché i gruppi gestiscono le autorizzazioni all'interno di un account, non consentono l'accesso cross-account. Creare una policy IAM non basta; è necessario un ruolo IAM con una policy di trust per l'accesso cross-account. Creare il ruolo nell'account di gestione e assegnarlo agli amministratori negli account membri non è corretto. I ruoli IAM sono risorse specifiche dell'account in cui vengono creati e devono essere assunti da un'entità (utente o altro ruolo) in un altro account tramite una policy di trust.