Organizations API를 통해 AWS 계정을 생성하는 Lambda 함수가 현재 관리 계정에서 실행되고 있습니다. 이 Lambda를 별도의 AWS 계정으로 옮겨야 하지만, 여전히 조직 내에서 계정을 생성할 수 있도록 허용해야 하며, 그 기능은 Organizations로만 제한되어야 합니다. Lambda를 전용 계정에 배포하기 전에 이 요구 사항을 충족하는 접근 방식은 무엇입요?

정답은 관리 계정에서 Organizations에 계정을 생성할 수 있는 권한을 가진 IAM 역할을 생성하고, 새 계정의 Lambda 실행 역할이 해당 역할을 맡을 수 있도록 허용하는 것입니다. Lambda 코드를 업데이트하여 Organizations를 호출할 때 관리 계정 역할을 맡도록 하고, Lambda 실행 역할에 해당 역할을 맡을 수 있는 권한을 부여합니다. 이 방법은 Lambda가 전용 계정에 있으면서도 관리 계정의 권한을 사용하여 Organizations 작업을 수행할 수 있도록 합니다. 오답 1: 위임된 관리는 Organizations API에 대한 권한을 위임하지만, organizations:CreateAccount는 관리 계정에서만 호출될 수 있는 API입니다. 오답 2: Lambda 서비스 주체가 관리 계정 역할을 맡는 것은 Lambda가 전용 계정에 배포될 때 작동하지 않습니다. Lambda는 전용 계정의 실행 역할을 사용해야 합니다. 오답 3: AWS Control Tower는 계정 프로비저닝을 위한 추가적인 관리 계층을 제공하지만, 이 시나리오의 요구 사항은 Organizations API를 통한 계정 생성에만 국한됩니다. Organizations API를 직접 사용하는 것이 더 간단하고 효율적입니다.