Un'organizzazione richiede una governance con questi vincoli: limitare l'accesso alle risorse alle stesse due Regioni per tutti gli account; limitare i servizi AWS consentiti a un set specifico; utilizzare Active Directory per l'autenticazione; e avere permessi identici basati sulla funzione lavorativa in ogni account. Quale soluzione soddisfa questi requisiti?

La risposta corretta soddisfa tutti i requisiti. Una Service Control Policy (SCP) in AWS Organizations applicata all'account di gestione limita efficacemente le Regioni e i servizi consentiti in tutti gli account membri. AWS CloudFormation StackSets è ideale per il provisioning coerente di ruoli identici basati sulla funzione lavorativa in tutti gli account. L'inclusione di una trust policy IAM per un provider di identità esterno (come Active Directory) in ogni ruolo consente l'autenticazione tramite Active Directory. Le opzioni errate presentano le seguenti carenze: La prima opzione menziona "policy di gruppo", che non è un concetto AWS per la governance a livello di organizzazione. La seconda opzione suggerisce un "permission boundary nell'account di gestione", ma i permission boundaries si applicano a singole identità IAM, non a livello di organizzazione per limitare Regioni e servizi. La terza opzione propone l'uso di AWS RAM per condividere i ruoli, ma AWS RAM è per la condivisione di risorse, non per la condivisione di ruoli IAM tra account in questo contesto. Inoltre, suggerisce IAM Identity Center, che è un'ottima soluzione, ma la parte relativa a RAM non è l'approccio più diretto per i ruoli.