Organizacja wymaga zarządzania z następującymi ograniczeniami: ograniczenie dostępu do zasobów do tych samych dwóch Regionów dla wszystkich kont; ograniczenie dozwolonych usług AWS do określonego zestawu; użycie Active Directory do uwierzytelniania; oraz posiadanie identycznych uprawnień opartych na funkcji pracy na każdym koncie. Które rozwiązanie spełnia te wymagania?

Poprawna odpowiedź spełnia wszystkie wymagania. Polityki kontroli usług (SCP) w AWS Organizations są idealne do ograniczania Regionów i dozwolonych usług na wszystkich kontach, ponieważ działają jako nadrzędne strażniki uprawnień. AWS CloudFormation StackSets umożliwiają wdrażanie identycznych ról IAM z politykami zaufania dla zewnętrznego dostawcy tożsamości (takiego jak Active Directory) na wielu kontach jednocześnie, co zapewnia spójne uprawnienia oparte na funkcji pracy i integrację z istniejącym systemem uwierzytelniania. Pozostałe opcje są nieprawidłowe, ponieważ: Opcja 1: Polityki grup nie są mechanizmem AWS do ograniczania Regionów i usług na poziomie organizacji; SCP są do tego przeznaczone. Opcja 2: Granice uprawnień są stosowane do poszczególnych tożsamości IAM, a nie do całych kont w organizacji, co czyni je nieodpowiednimi do globalnego ograniczania Regionów i usług. Opcja 3: AWS RAM służy do udostępniania zasobów między kontami, a nie ról IAM. AWS IAM Identity Center (dawniej AWS SSO) to usługa tożsamości, ale pytanie wymaga użycia Active Directory, co sugeruje zewnętrznego dostawcę tożsamości.