Een bedrijf gebruikt AWS Organizations en AWS IAM Identity Center (AWS Single Sign-On) om toegang te beheren over meerdere AWS-accounts. Een beveiligingsengineer maakt een herbruikbare permission set in IAM Identity Center die zowel een door AWS beheerde policy als een door de klant beheerde policy omvat. Hoewel de engineer volledige administratieve rechten heeft in het management account, mislukt het toewijzen van deze permission set aan een gebruiker die toegang heeft tot meerdere accounts. Hoe moet de engineer de toewijzingsfout oplossen?

Wanneer een permission set met een door de klant beheerde policy wordt toegewezen aan een gebruiker in IAM Identity Center, moet die specifieke door de klant beheerde policy bestaan in elk doelaccount waartoe de gebruiker toegang krijgt. IAM Identity Center implementeert deze policies door ze te creëren als IAM-policies in de doelaccounts. Als de policy niet bestaat in een account, mislukt de toewijzing voor dat account. De andere opties zijn onjuist: Het loskoppelen van policies en het maken van een tweede permission set is onnodig en lost het onderliggende probleem van de ontbrekende policy niet op. Conflicten binnen de permission set zijn onwaarschijnlijk de oorzaak van een toewijzingsfout; IAM Identity Center combineert policies. Het wijzigen van een bestaande permission set lost het probleem niet op als de door de klant beheerde policy nog steeds ontbreekt in de doelaccounts.