Компания использует AWS Organizations и AWS IAM Identity Center (AWS Single Sign-On) для управления доступом к нескольким аккаунтам AWS. Инженер по безопасности создает многоразовый набор разрешений (permission set) в IAM Identity Center, который включает как управляемую политику AWS (AWS managed policy), так и управляемую клиентом политику (customer managed policy). Хотя инженер имеет полные административные разрешения в управляющем аккаунте (management account), назначение этого набора разрешений пользователю, имеющему доступ к нескольким аккаунтам, завершается неудачей. Как инженеру следует устранить эту ошибку назначения?

Правильный ответ объясняется тем, что при использовании AWS IAM Identity Center (ранее AWS Single Sign-On) и AWS Organizations, управляемые клиентом политики (customer managed policies) должны существовать в каждом целевом аккаунте, куда назначается набор разрешений. IAM Identity Center не распространяет эти политики автоматически. Если политика отсутствует в одном из аккаунтов, назначение набора разрешений завершится неудачей для этого аккаунта. Имя политики и ее содержимое должны быть идентичными во всех целевых аккаунтах. Неправильные варианты: Отсоединение и создание второго набора разрешений не решает проблему отсутствия политики в целевых аккаунтах. Проверка конфликтов в политиках важна, но не является причиной неудачи назначения, если политика отсутствует. Изменение существующего набора разрешений не решает проблему, если управляемая клиентом политика все еще отсутствует в целевых аккаунтах.