CloudFormation を使用して、IAM ロールを Organizations 管理アカウントとすべてのメンバーアカウントにデプロイする必要があります。運用上のオーバーヘッドを最小限に抑える必要があります。CloudFormation の信頼されたアクセスは有効になっており、組織には 10 個のアカウントがあります。最小限の運用作業で要件を満たすアプローチはどれですか？

このアプローチが正しいのは、CloudFormation StackSets のサービスマネージド型のアクセス許可が、組織内のアカウントへのデプロイを自動化し、新しいアカウントが組織に追加されたときに自動的にロールをデプロイするため、運用上のオーバーヘッドを最小限に抑えるからです。ルート OU をデプロイターゲットとすることで、すべてのメンバーアカウントにロールが適用されます。しかし、StackSets は管理アカウント自体にはデプロイされないため、管理アカウントに個別の CloudFormation スタックをデプロイする必要があります。 誤った選択肢は次のとおりです。 最初の選択肢は、管理アカウントに個別のスタックをデプロイしないため、管理アカウントにロールがデプロイされません。 セルフマネージド型のアクセス許可は、各メンバーアカウントで IAM ロールを手動で設定する必要があるため、運用上のオーバーヘッドが増大します。