Компания перенесла рабочие нагрузки для разработки и продакшена в новую AWS Organization и создала отдельные дочерние аккаунты (member accounts) для dev и prod. Консолидированный биллинг привязан к управляющему аккаунту (management account). Архитектор решений должен создать пользователя IAM в управляющем аккаунте, который сможет останавливать или завершать ресурсы в обоих дочерних аккаунтах. Какой подход соответствует этому требованию?

Правильный подход заключается в создании пользователя IAM в управляющем аккаунте и предоставлении ему возможности принимать (assume) кросс-аккаунтные роли, определенные в дочерних аккаунтах. Эти роли должны иметь минимально необходимые разрешения для остановки или завершения ресурсов. Политики доверия ролей в дочерних аккаунтах должны явно разрешать пользователю из управляющего аккаунта принимать эти роли. Это обеспечивает централизованное управление пользователем и децентрализованное управление разрешениями, соответствующее принципу наименьших привилегий. Неправильные варианты: Создание кросс-аккаунтной роли в управляющем аккаунте для дочерних аккаунтов не является стандартным механизмом для делегирования разрешений из управляющего аккаунта в дочерние. Создание пользователей IAM в каждом дочернем аккаунте усложняет управление и не соответствует требованию о едином пользователе. Добавление пользователя IAM из управляющего аккаунта в группы IAM в дочерних аккаунтах невозможно, так как пользователи и группы IAM существуют в пределах одного аккаунта.