Организации требуется управление со следующими ограничениями: ограничить доступ к ресурсам двумя одинаковыми регионами для всех аккаунтов; ограничить разрешенные сервисы AWS определенным набором; использовать Active Directory для аутентификации; и иметь идентичные разрешения на основе должностных функций в каждом аккаунте. Какое решение соответствует этим требованиям?

Правильный ответ — создание политики управления сервисами (SCP) в управляющем аккаунте для ограничения регионов и сервисов. SCP применяются ко всем аккаунтам в организации и эффективно ограничивают доступ. Использование AWS CloudFormation StackSets позволяет централизованно развертывать идентичные роли с политиками доверия для внешнего провайдера идентификации (например, Active Directory) во всех целевых аккаунтах, что обеспечивает единообразные разрешения на основе должностных функций и интеграцию с Active Directory. Неправильные варианты: Групповые политики не являются функцией AWS Organizations и не могут ограничивать регионы или сервисы на уровне организации. Границы разрешений (permission boundaries) применяются к отдельным сущностям IAM (пользователям/ролям), а не ко всем аккаунтам организации. AWS RAM используется для совместного использования ресурсов, а не ролей, и AWS IAM Identity Center (ранее AWS SSO) является решением для управления идентификацией, но требование явно указывает на использование Active Directory, что лучше всего достигается через внешнего провайдера идентификации.