Na een fusie heeft het bedrijf meerdere bestaande AWS-accounts voor verschillende bedrijfsonderdelen. Een centraal managementaccount heeft uitnodigingen gestuurd naar member accounts om lid te worden van een AWS Organization. De solutions architect moet gecentraliseerde facturering en gecentraliseerd toegangsbeleidsbeheer inschakelen. Wat is de volgende stap om het managementaccount in staat te stellen de member accounts te beheren?

Om het managementaccount in staat te stellen de member accounts te beheren, moet in elk member account een IAM-rol (genaamd OrganizationAccountAccessRole) worden aangemaakt. Deze rol moet een trust policy hebben dat het managementaccount toestaat deze rol aan te nemen. Dit is de standaard en aanbevolen methode voor cross-account toegang binnen AWS Organizations, waardoor gecentraliseerd beheer mogelijk is zonder afzonderlijke gebruikers in elk account aan te maken. Het aanmaken van IAM-groepen of -beleid in member accounts is niet voldoende om cross-account toegang te verlenen. Het aanmaken van een rol in het managementaccount en deze toewijzen aan beheerders in elk member account is onjuist, omdat de rol in het member account zelf moet bestaan om door het managementaccount te kunnen worden aangenomen.