Paylaşılan bir geliştirme AWS hesabındaki bir geliştiricinin, bir fizibilite çalışmasında kullanılan hizmetler için hizmet bağlantılı roller oluşturması gerekiyor. Hesap, bir AWS Organization'ın parçasıdır. Geliştiricinin hizmet bağlantılı roller oluşturabilmesi ve yapılandırabilmesi gerekir, fazlası değil. Bu gereksinimi hangi yaklaşım karşılar?

Doğru cevap, geliştiricinin yalnızca ihtiyaç duyduğu izinlere sahip olmasını sağlayan en az ayrıcalık ilkesini uygular. Bir IAM rolü oluşturmak, geliştiricinin hizmet bağlantılı roller oluşturması ve yapılandırması için gereken belirli IAM izinlerini verir. İzin sınırı (permissions boundary) eklemek, geliştiricinin bu rolü üstlendiğinde dahi oluşturabileceği veya değiştirebileceği izinlerin kapsamını kısıtlar. Bu, geliştiricinin yetkilerini aşmasını engellerken, fizibilite çalışması için gerekli olan hizmet bağlantılı rolleri oluşturmasına olanak tanır. Diğer seçenekler uygun değildir: Organizations yönetim hesabında IAM kullanıcısı oluşturmak, geliştiricinin yetkilerini gereksiz yere artırır ve yönetim hesabının güvenliğini riske atar. PowerUserAccess politikası çok geniş izinler verir ve geliştiricinin yalnızca hizmet bağlantılı roller oluşturma ihtiyacını aşar. iam: eylemlerini reddeden bir SCP, geliştiricinin hizmet bağlantılı roller oluşturmasını tamamen engeller, bu da gereksinimi karşılamaz.