L'azienda ha migrato i carichi di lavoro di sviluppo e produzione in una nuova AWS Organization e ha creato account membro separati per dev e prod. La fatturazione consolidata è collegata all'account di gestione. L'architetto di soluzioni deve creare un utente IAM nell'account di gestione che possa arrestare o terminare le risorse in entrambi gli account membro. Quale approccio soddisfa questo requisito?

L'approccio corretto prevede la creazione di un utente IAM centralizzato nell'account di gestione. Per accedere alle risorse negli account membro (dev e prod), si creano ruoli cross-account in ciascuno di questi account. Questi ruoli devono avere policy di permesso a privilegio minimo, consentendo solo le azioni necessarie (arrestare/terminare risorse). La policy di trust di ogni ruolo cross-account deve specificare l'ARN dell'utente IAM dell'account di gestione come entità autorizzata ad assumere il ruolo. In questo modo, l'utente dell'account di gestione può assumere i ruoli negli account membro per eseguire le operazioni richieste, mantenendo la sicurezza e il principio del privilegio minimo. Le altre opzioni sono meno efficaci o non valide: Creare un ruolo cross-account nell'account di gestione non è sufficiente, poiché i ruoli cross-account devono risiedere nell'account che detiene le risorse a cui si vuole accedere. Creare un utente IAM in ogni account membro è inefficiente e non centralizzato. Aggiungere un utente IAM dell'account di gestione a gruppi IAM negli account membro non è un meccanismo valido per l'accesso cross-account.