Bir şirket, birden çok AWS hesabında erişimi yönetmek için AWS Organizations ve AWS IAM Identity Center (AWS Single Sign-On) kullanmaktadır. Bir güvenlik mühendisi, hem bir AWS managed policy'yi hem de bir customer managed policy'yi içeren, IAM Identity Center'da yeniden kullanılabilir bir izin seti oluşturur. Mühendis, yönetim hesabında tam yönetici izinlerine sahip olmasına rağmen, bu izin setini birden çok hesaba erişimi olan bir kullanıcıya atama işlemi başarısız olur. Mühendis, atama hatasını nasıl çözmelidir?

Doğru cevap, müşteri tarafından yönetilen ilkenin (customer managed policy) atanacağı her hedef hesapta mevcut olmasını ve aynı ilke adına ve izinlere sahip olmasını sağlamaktır. IAM Identity Center izin setleri, müşteri tarafından yönetilen ilkeleri kullanırken, bu ilkelerin atanacak tüm hedef hesaplarda önceden var olmasını gerektirir. Aksi takdirde atama başarısız olur. Diğer seçenekler yanlıştır çünkü: İzin setlerini ayırmak gereksiz karmaşıklık yaratır ve sorunu çözmez. İlkelerdeki çakışmalar genellikle atama hatasına neden olmaz, ancak yetkilendirme sorunlarına yol açabilir. Mevcut izin setini değiştirmek, temel sorunu çözmez; yani müşteri tarafından yönetilen ilkenin hedef hesaplarda bulunmaması sorununu gidermez.