Een organisatie beheert gebruikers centraal vanuit een operations-account en staat het aanmaken van gebruikers in workload-accounts niet toe. Het operations-team heeft beheerdersrechten nodig voor elk workload-account. Welke combinatie van acties biedt die toegang? (Kies drie.)

De correcte antwoorden beschrijven het proces van cross-account role assumption, een best practice voor gecentraliseerd toegangsbeheer. Ten eerste moeten IAM-gebruikers voor het operations-team worden aangemaakt in het centrale operations-account, omdat gebruikers daar centraal worden beheerd. Ten tweede moet in elk workload-account een IAM-rol (bijv. SysAdmin) met AdministratorAccess worden aangemaakt. Het trustbeleid van deze rol moet het operations-account toestaan om deze rol aan te nemen, waardoor toegang vanuit het centrale account mogelijk wordt. Ten slotte moet in het operations-account een IAM-groep worden aangemaakt met een beleid dat de leden toestaat de SysAdmin-rol in de workload-accounts aan te nemen (sts:AssumeRole). De leden van het operations-team worden aan deze groep toegevoegd. De incorrecte opties zijn onjuist omdat: Een SysAdmin-rol in het operations-account met trust voor workload-accounts is niet de juiste aanpak; de rol met bevoegdheden moet in het doel-workload-account bestaan. Amazon Cognito identity pools en user pools zijn bedoeld voor externe identiteitsfederatie (web/mobiele apps) en niet voor intern AWS cross-account beheer.