Een Lambda-functie die AWS-accounts aanmaakt via de Organizations API, draait momenteel in het management account. Je moet die Lambda verplaatsen naar een afzonderlijk AWS-account, maar deze moet nog steeds accounts kunnen aanmaken in de organisatie, waarbij de mogelijkheden beperkt zijn tot alleen Organizations. Welke aanpak voldoet aan deze vereiste voordat de Lambda in het dedicated account wordt geïmplementeerd?

De correcte aanpak is om een IAM-rol in het management account te creëren met de benodigde Organizations API-permissies (bijvoorbeeld organizations:CreateAccount). Deze rol moet een trust policy hebben dat de Lambda execution role in het dedicated account toestaat deze rol aan te nemen. De Lambda-code in het dedicated account moet vervolgens worden aangepast om deze management-account rol aan te nemen voordat Organizations API-aanroepen worden gedaan. Dit is de standaard en veiligste methode voor cross-account toegang, waarbij het principe van minimale privileges wordt gevolgd. De optie met gedelegeerd beheer voor Organizations is incorrect omdat het aanmaken van accounts een actie is die alleen vanuit het management account kan worden uitgevoerd, zelfs met gedelegeerd beheer voor andere Organizations-acties. De optie die de Lambda service principal toestaat de rol aan te nemen is incorrect omdat de Lambda in een ander account draait en niet direct de rol in het management account kan aannemen zonder cross-account trust. De optie met Control Tower is incorrect omdat Control Tower een hogere-niveau service is en niet direct de onderliggende Organizations API-aanroepen beheert voor het aanmaken van accounts op deze manier; bovendien zou dit een onnodige complexiteit introduceren als het enige doel is om accounts aan te maken via Organizations.