Het bedrijf heeft ontwikkel- en productieworkloads gemigreerd naar een nieuwe AWS Organization en aparte member accounts aangemaakt voor dev en prod. Geconsolideerde facturering is gekoppeld aan het management account. De solutions architect moet een IAM user aanmaken in het management account die resources kan stoppen of beëindigen in beide member accounts. Welke aanpak voldoet aan deze vereiste?

De correcte aanpak is om een IAM user in het management account aan te maken en in elk member account (dev en prod) cross-account roles te creëren met de benodigde least-privilege permissies (stoppen/beëindigen van resources). De trust policies van deze rollen moeten vervolgens worden geconfigureerd om de IAM user uit het management account toe te staan deze rollen aan te nemen. Dit is de standaard en veiligste methode voor cross-account toegang, omdat de IAM user in het management account geen directe permissies heeft in de member accounts, maar de rollen aanneemt om acties uit te voeren. De eerste optie is onjuist omdat een cross-account role in het management account geen toegang kan krijgen tot resources in member accounts. De tweede optie is onjuist omdat het aanmaken van IAM users in elk member account de administratieve overhead verhoogt en niet de gecentraliseerde controle biedt die gewenst is. De derde optie is onjuist omdat een IAM user uit het management account niet direct aan een IAM group in een member account kan worden toegevoegd; dit is geen geldige AWS IAM-configuratie.