Una funzione Lambda che crea account AWS tramite l'API Organizations è attualmente in esecuzione nell'account di gestione. È necessario spostare tale Lambda in un account AWS separato, ma consentirle comunque di creare account nell'organizzazione, con la sua capacità limitata solo a Organizations. Quale approccio soddisfa questo requisito prima di distribuire la Lambda nell'account dedicato?

L'approccio corretto prevede la creazione di un ruolo IAM nell'account di gestione con le autorizzazioni necessarie per creare account in AWS Organizations. Questo ruolo deve avere una trust policy che consenta al ruolo di esecuzione della Lambda nel nuovo account di assumerlo. La funzione Lambda nel nuovo account verrà quindi aggiornata per assumere programmaticamente questo ruolo dell'account di gestione prima di effettuare chiamate API a Organizations. Questo garantisce che la Lambda operi con i privilegi minimi necessari (solo Organizations) e che tali privilegi siano gestiti centralmente nell'account di gestione, mantenendo la separazione dei compiti. Le opzioni errate: L'amministrazione delegata per Organizations non è il meccanismo appropriato per consentire a un account membro di creare altri account; è per delegare la gestione di Organizations. Creare un ruolo IAM nell'account di gestione assumibile dal service principal Lambda non è corretto perché la Lambda risiede in un account diverso e il ruolo di esecuzione della Lambda deve assumere un ruolo cross-account. AWS Control Tower non è richiesto per questo scenario e introduce complessità non necessarie; l'API Organizations è sufficiente.