Компания использует AWS Organizations, и у нее настроены AWS IAM Identity Center (AWS Single Sign-On) и AWS Control Tower. Компании необходимо управлять множеством разрешений пользователей между аккаунтами, разделять разрешения между командами разработчиков и администраторов, а также добавлять новых сотрудников в команды. Какое решение отвечает этим требованиям с НАИМЕНЬШИМИ операционными издержками?

Правильный ответ минимизирует операционные издержки, используя ключевые возможности AWS IAM Identity Center (ранее AWS Single Sign-On). Создание групп в IAM Identity Center позволяет централизованно управлять членством пользователей. Наборы разрешений (permission sets) определяют права доступа и могут быть назначены группам для конкретных аккаунтов. Это позволяет легко добавлять новых сотрудников, просто добавляя их в соответствующую группу, и автоматически применять к ним нужные разрешения во всех необходимых аккаунтах. Остальные варианты увеличивают операционные издержки. Создание отдельных пользователей в IAM Identity Center для каждого аккаунта (первые два варианта) или создание наборов разрешений для каждого пользователя (четвертый вариант) не масштабируется и усложняет управление при большом количестве пользователей и аккаунтов. Присоединение управляемых AWS политик IAM непосредственно к пользователям (второй вариант) также менее эффективно, чем использование наборов разрешений, назначенных группам.