Вам необходимо развернуть роль IAM в управляющей учетной записи Organizations и во всех дочерних учетных записях с помощью CloudFormation с наименьшими операционными издержками. Доверенный доступ для CloudFormation включен, и организация имеет 10 учетных записей. Какой подход соответствует требованию с минимальными операционными затратами?

Правильный ответ — это создание CloudFormation StackSet с управляемыми сервисом разрешениями, нацеленного на корневое OU, а также развертывание отдельного стека CloudFormation в управляющей учетной записи. CloudFormation StackSets с управляемыми сервисом разрешениями позволяют развертывать ресурсы AWS в нескольких учетных записях и регионах из одной управляющей учетной записи Organizations с минимальными операционными издержками, поскольку AWS управляет необходимыми ролями IAM. Нацеливание на корневое OU гарантирует развертывание во всех дочерних учетных записях. Однако StackSets не могут развертывать ресурсы в самой управляющей учетной записи, поэтому для нее требуется отдельный стек CloudFormation. Использование самоуправляемых разрешений (self-managed permissions) увеличивает операционные издержки, так как требует ручного создания и управления ролями IAM в каждой целевой учетной записи.