Firma będzie zarządzać wieloma kontami AWS dla różnych działów z centralnej lokalizacji. Zespół bezpieczeństwa musi mieć dostęp tylko do odczytu do każdego konta z własnego konta AWS. Firma używa AWS Organizations i utworzyła konto dla zespołu bezpieczeństwa. Jaki jest prawidłowy sposób, aby architekt rozwiązań zapewnił zespołowi bezpieczeństwa dostęp tylko do odczytu do kont członkowskich?

Poprawna odpowiedź to utworzenie nowej roli IAM z uprawnieniami tylko do odczytu w każdym koncie członkowskim. Ta rola powinna mieć politykę zaufania, która pozwala kontu bezpieczeństwa na jej przejęcie (assume role). To jest standardowa i bezpieczna metoda delegowania uprawnień między kontami AWS w ramach AWS Organizations. Rola OrganizationAccountAccessRole jest domyślnie tworzona w kontach członkowskich i jest przeznaczona do zarządzania przez konto zarządzające, ale nie jest bezpośrednio używana przez konta bezpieczeństwa do dostępu tylko do odczytu. Pozostałe opcje są nieprawidłowe, ponieważ próbują użyć OrganizationAccountAccessRole w sposób niezgodny z jej przeznaczeniem lub sugerują niewłaściwe mechanizmy dostępu, które nie zapewniają wymaganej kontroli uprawnień tylko do odczytu.