Een AWS Organization heeft een SCP op de root die het aanmaken van IAM-gebruikers toestaat. DevOps moet IAM-gebruikers kunnen aanmaken met elk niveau van permissies en moet kunnen voorkomen dat andere gebruikers IAM-gebruikers aanmaken. Ontwikkelaars moeten IAM-gebruikers kunnen aanmaken, maar mogen geen buitensporige permissies toekennen. Ontwikkelaars hebben een CreateAndManageUsers-rol in elk account. Welke combinatie van stappen voldoet aan deze vereisten? (Kies twee.)

De correcte antwoorden zijn "Maak in elk account een IAM-beleid met de naam PermissionBoundaries dat de maximale permissies definieert die een ontwikkelaar aan een nieuwe IAM-gebruiker mag toekennen" en "Maak in elk account een IAM-beleid met de naam DeveloperBoundary dat ontwikkelaars toestaat om IAM-gebruikers aan te maken en beleidsregels aan nieuwe IAM-gebruikers te koppelen, alleen als de ontwikkelaar het PermissionBoundaries-beleid als de permissions boundary specificeert. Koppel DeveloperBoundary aan de CreateAndManageUsers-rol in elk account." De eerste stap creëert een Permission Boundary, een geavanceerde IAM-functie die de maximale permissies definieert die een identiteit gebaseerd beleid aan een IAM-entiteit kan verlenen. Dit voldoet aan de eis dat ontwikkelaars geen buitensporige permissies mogen toekennen. De tweede stap zorgt ervoor dat ontwikkelaars IAM-gebruikers kunnen aanmaken, maar dwingt af dat ze de Permission Boundary toepassen. Dit voorkomt dat ontwikkelaars IAM-gebruikers aanmaken met meer permissies dan toegestaan door de PermissionBoundary. De andere opties zijn incorrect omdat ze ofwel de vereisten voor ontwikkelaars niet afdwingen, ofwel de mogelijkheid voor DevOps om IAM-gebruikers aan te maken beperken, wat niet de bedoeling is.