Uw organisatie gebruikt AWS Organizations en heeft een IAM-team dat AWS IAM Identity Center zal beheren. Het IAM-team mag alleen de minimale machtigingen hebben die nodig zijn om Identity Center te beheren en mag geen onnodige toegang krijgen tot het managementaccount van Organizations. Het team moet nieuwe Identity Center-machtigingssets en -toewijzingen kunnen maken voor zowel nieuwe als bestaande lidaccounts. Welke combinatie van stappen voldoet aan deze beperkingen? (Kies er drie.)

De eerste correcte stap is om IAM Identity Center in te schakelen in het Organizations-managementaccount en vervolgens een nieuw AWS-account voor het IAM-team te registreren als gedelegeerd beheerder. Dit centraliseert Identity Center-beheer en isoleert het IAM-team van directe toegang tot het managementaccount, wat voldoet aan het principe van minimale privileges. De optie die Identity Center in het nieuwe account inschakelt, is incorrect omdat Identity Center globaal wordt ingeschakeld in de organisatie, niet per account. De tweede correcte stap is het aanmaken van IAM-gebruikers en een groep voor het IAM-team in Identity Center, en het koppelen van de beheerde policy AWSSSOMemberAccountAdministrator aan een nieuwe machtigingsset. Deze policy verleent de nodige permissies voor het beheren van Identity Center. De derde correcte stap is het toewijzen van deze nieuwe machtigingsset aan het nieuwe AWS-account van het IAM-team, zodat de groep van het IAM-team deze kan gebruiken. Dit zorgt ervoor dat het IAM-team Identity Center kan beheren vanuit hun eigen account. Het toewijzen aan het Organizations-managementaccount (een incorrecte optie) zou het IAM-team onnodige toegang geven tot het managementaccount. Het SCP-voorstel is incorrect omdat het alle toegang tot Identity Center zou weigeren, wat het beheer onmogelijk maakt.