Po fuzji firma posiada wiele istniejących kont AWS dla różnych jednostek biznesowych. Centralne konto zarządzające wysłało zaproszenia do kont członkowskich, aby dołączyły do AWS Organization. Architekt rozwiązań musi włączyć scentralizowane rozliczanie i scentralizowane zarządzanie politykami dostępu. Jaki jest następny krok, aby umożliżyć kontu zarządzającemu zarządzanie kontami członkowskimi?

Aby scentralizować zarządzanie kontami członkowskimi w AWS Organizations, konto zarządzające musi mieć możliwość przejmowania ról na tych kontach. Utworzenie roli IAM o nazwie OrganizationAccountAccessRole na każdym koncie członkowskim i udzielenie kontu zarządzającemu uprawnień do przejęcia tej roli jest standardowym i zalecanym mechanizmem. Ta rola jest domyślnie tworzona, gdy konto jest tworzone w ramach organizacji, ale w przypadku zaproszonych kont należy ją utworzyć ręcznie. Pozostałe opcje są nieprawidłowe: Tworzenie grupy IAM na każdym koncie członkowskim nie zapewnia kontu zarządzającemu dostępu do zarządzania. Tworzenie polityki IAM z dostępem międzykontowym jest niekompletne; potrzebna jest rola do przejęcia. Tworzenie roli na koncie zarządzającym i przypisywanie jej administratorom na kontach członkowskich nie daje kontu zarządzającemu uprawnień do zarządzania kontami członkowskimi.