È necessario distribuire un ruolo IAM nell'account di gestione di Organizations e in tutti gli account membro utilizzando CloudFormation, con il minimo overhead operativo. L'accesso attendibile per CloudFormation è abilitato e l'organizzazione ha 10 account. Quale approccio soddisfa il requisito con il minimo lavoro operativo?

L'opzione corretta utilizza un CloudFormation StackSet con autorizzazioni gestite dal servizio e la root dell'OU come destinazione per distribuire il ruolo IAM a tutti gli account membro. Le autorizzazioni gestite dal servizio sono ideali per la minima overhead operativa in un'organizzazione, poiché AWS gestisce i permessi necessari per le operazioni dello StackSet. La root dell'OU garantisce che tutti gli account attuali e futuri ricevano il ruolo. Tuttavia, gli StackSet non possono essere distribuiti all'account di gestione stesso quando si utilizza la root dell'OU come destinazione. Per questo motivo, è necessario un CloudFormation Stack separato distribuito direttamente nell'account di gestione per garantire che anche quest'ultimo riceva il ruolo IAM. Le opzioni che suggeriscono autorizzazioni autogestite aumentano l'overhead operativo poiché richiedono la creazione e la gestione manuale dei ruoli di servizio negli account di destinazione. L'opzione che omette lo stack separato nell'account di gestione non soddisfa il requisito di distribuire il ruolo a tutti gli account, incluso quello di gestione.