Funkcja Lambda, która tworzy konta AWS za pośrednictwem interfejsu API Organizations, działa obecnie na koncie zarządzającym. Musisz przenieść tę funkcję Lambda na oddzielne konto AWS, ale nadal zezwolić jej na tworzenie kont w organizacji, z ograniczeniem jej możliwości tylko do Organizations. Jakie podejście spełnia ten wymóg przed wdrożeniem funkcji Lambda na dedykowanym koncie?

Prawidłowa odpowiedź zakłada utworzenie roli IAM na koncie zarządzającym z uprawnieniami do tworzenia kont w AWS Organizations. Ta rola będzie miała zaufanie do roli wykonawczej Lambda na nowym koncie, umożliwiając jej przejęcie. Funkcja Lambda zostanie zaktualizowana, aby przejmować tę rolę przed wywołaniem operacji Organizations, co jest standardowym i bezpiecznym wzorcem dla dostępu między kontami. Nieprawidłowe odpowiedzi: Delegowane administrowanie dla Organizations nie jest przeznaczone do delegowania uprawnień do tworzenia kont w ten sposób; służy do delegowania zarządzania określonymi usługami. Utworzenie roli IAM na koncie zarządzającym z zaufaniem do podmiotu usługi Lambda nie jest wystarczające, ponieważ funkcja Lambda działa na innym koncie; wymaga to przejęcia roli między kontami. AWS Control Tower jest rozwiązaniem do zarządzania środowiskami wielokontowymi, ale nie jest wymagane do samego tworzenia kont za pomocą Organizations API, a delegowane administrowanie w Control Tower nie jest bezpośrednio używane do delegowania uprawnień Organizations:CreateAccount w tym scenariuszu.