ある企業はAWS Organizationsを使用しており、約1,000個のアカウントを追加する予定です。現在、IAMロールを作成できるのは中央セキュリティチームだけです。ボトルネックを減らすため、アプリケーションチームが独自のIAMロールをプロビジョニングできるようにする必要がありますが、ロールのスコープは制限され、特権昇格を許可してはなりません。運用上のオーバーヘッドが最も少ないソリューションは何ですか？

このソリューションは、アプリケーションチームにIAMロールの作成を委任しつつ、セキュリティチームが特権昇格を防ぐための厳格な制御を維持できるため、運用上のオーバーヘッドが最も少なくなります。SCPをルートOUにアタッチすることで、組織内のすべてのIAMロール作成が許可バウンダリの使用を強制され、セキュリティポリシーが確実に適用されます。これにより、各チームのロールを個別にレビューする手間が省けます。 IAMグループとユーザーを使用するオプションは、各チームのポリシーを個別に管理する必要があり、大規模な組織ではオーバーヘッドが大きくなります。IAMロール作成をチームリードに委任するオプションは、手動レビューが必要であり、ヒューマンエラーのリスクが高く、スケーラビリティが低いです。各アカウントを独自のOUに配置し、SCPでサービスを制限するオプションは、IAMロール作成の制御には直接関連せず、特権昇格を防ぐための具体的なメカニズムを提供しません。