Een organisatie vereist governance met de volgende beperkingen: beperk resourcetoegang tot dezelfde twee Regio's voor alle accounts; beperk toegestane AWS services tot een specifieke set; gebruik Active Directory voor authenticatie; en hanteer identieke, op functie gebaseerde permissies in elk account. Welke oplossing voldoet aan deze vereisten?

De correcte optie voldoet aan alle vereisten. Een Service Control Policy (SCP) in het management account van AWS Organizations is de juiste manier om regio's en toegestane services te beperken voor alle accounts, aangezien SCP's preventieve controles bieden die van toepassing zijn op alle accounts in de organisatie of specifieke OU's. AWS CloudFormation StackSets zijn ideaal voor het consistent provisioneren van identieke, op functie gebaseerde IAM-rollen in meerdere accounts. Het opnemen van een IAM trust policy voor een externe identity provider (zoals Active Directory) in deze rollen zorgt voor authenticatie via de gewenste directory. De eerste optie is onjuist omdat Group Policies niet bestaan in AWS Organizations voor het beperken van regio's of services; SCP's zijn hiervoor bedoeld. De tweede optie is onjuist omdat permission boundaries worden toegepast op individuele IAM-principals en niet op accounts, waardoor ze niet geschikt zijn voor organisatiebrede beperkingen van regio's en services. De derde optie is onjuist omdat AWS Resource Access Manager (RAM) wordt gebruikt voor het delen van resources, niet voor het delen van IAM-rollen voor authenticatie, en AWS IAM Identity Center (voorheen AWS SSO) is een identity provider, geen mechanisme om rollen te delen of te provisioneren op de manier die hier vereist is voor consistente, functiegebaseerde permissies.