Pojedyncze konto AWS nowo nabytej firmy dołączyło do AWS Organization i zostało przeniesione do OU. Inżynier DevOps na koncie zarządzającym próbuje przejąć rolę OrganizationAccountAccessRole, aby uzyskać dostęp do kont członkowskich, ale próba przejęcia roli za pośrednictwem konsoli na nowym koncie członkowskim kończy się niepowodzeniem z komunikatem „Invalid information in one or more fields.” Jakie działanie pozwoli inżynierowi DevOps uzyskać dostęp do nowego konta członkowskiego?

Prawidłowa odpowiedź: Nowo nabyte konto AWS prawdopodobnie nie ma domyślnej roli OrganizationAccountAccessRole utworzonej automatycznie, ponieważ nie zostało utworzone w ramach AWS Organizations. Aby inżynier DevOps mógł uzyskać dostęp, należy ręcznie utworzyć tę rolę na nowym koncie członkowskim. Rola musi mieć dołączoną politykę uprawnień (np. AdministratorAccess) i politykę zaufania, która zezwala kontu zarządzającemu na jej przejęcie. Nieprawidłowe odpowiedzi: Przyznanie uprawnień na koncie zarządzającym nie rozwiąże problemu braku roli na koncie członkowskim. Tworzenie nowej polityki kontroli usług (SCP) nie jest właściwym rozwiązaniem. SCP ograniczają uprawnienia, a nie je nadają, i nie mogą nadać dostępu do roli, która nie istnieje. Edycja polityki zaufania istniejącej roli OrganizationAccountAccessRole jest niemożliwa, ponieważ rola ta prawdopodobnie nie istnieje na nowo nabytym koncie.