Bir kuruluşun şu kısıtlamalarla yönetişime ihtiyacı var: tüm hesaplar için kaynak erişimini aynı iki Region ile kısıtlamak; izin verilen AWS hizmetlerini belirli bir setle sınırlamak; kimlik doğrulama için Active Directory kullanmak; ve her hesapta aynı işlev tabanlı izinlere sahip olmak. Hangi çözüm bu gereksinimleri karşılar?

Doğru cevap, AWS Organizations'daki bir hizmet kontrol politikası (SCP) ile Region ve hizmet kısıtlamalarını merkezi olarak uygularken, CloudFormation StackSets ile hesaplar arası tutarlı rol dağıtımı ve harici kimlik sağlayıcısı entegrasyonunu sağlamasıdır. SCP'ler, tüm bağlı hesaplar için izinleri kısıtlamanın en etkili yoludur. CloudFormation StackSets, birden fazla hesapta aynı IAM rollerini ve güven politikalarını dağıtmak için idealdir, bu da Active Directory gibi harici bir kimlik sağlayıcısı ile federasyonu destekler. Yanlış seçenekler: İlk yanlış seçenek, yönetim hesabında grup ilkeleri uygulamanın SCP'ler kadar etkili olmadığını ve organizasyon genelinde tutarlı kısıtlamalar sağlamadığını belirtir. İkinci yanlış seçenek, bir izin sınırının (permission boundary) yalnızca IAM varlıklarının sahip olabileceği maksimum izinleri tanımladığını, ancak hesap genelinde Region veya hizmet kısıtlamaları uygulayamadığını belirtir. Üçüncü yanlış seçenek, AWS RAM'in kaynakları paylaşmak için kullanıldığını, ancak IAM rolleri için uygun olmadığını ve IAM Identity Center'ın Active Directory ile federasyon için bir seçenek olsa da, diğer gereksinimleri karşılamadığını belirtir.