Функция Lambda, которая создает учетные записи AWS через Organizations API, в настоящее время работает в управляющей учетной записи. Вам необходимо переместить эту функцию Lambda в отдельную учетную запись AWS, но при этом разрешить ей создавать учетные записи в организации, ограничив ее возможности только Organizations. Какой подход соответствует этому требованию перед развертыванием Lambda в выделенной учетной записи?

Правильный подход заключается в использовании механизма кросс-аккаунтных ролей IAM. Создание роли IAM в управляющей учетной записи с необходимыми разрешениями Organizations (например, organizations:CreateAccount) и указание роли выполнения Lambda из выделенной учетной записи в качестве доверенного субъекта позволяет Lambda временно принимать эту роль. Обновление кода Lambda для выполнения операции sts:AssumeRole перед вызовом API Organizations гарантирует, что запросы будут выполняться с разрешениями управляющей учетной записи. Вариант с делегированным администрированием для Organizations не позволяет напрямую делегировать создание учетных записей, а скорее управление сервисами. Создание роли в управляющей учетной записи, которую принимает сервис Lambda, не является кросс-аккаунтным решением. Control Tower не является обязательным для создания учетных записей через Organizations API и добавляет ненужную сложность.