Şirket, geliştirme ve üretim iş yüklerini yeni bir AWS Organization'a taşıdı ve geliştirme (dev) ve üretim (prod) için ayrı üye hesapları oluşturdu. Konsolide faturalandırma (consolidated billing) yönetim hesabına bağlıdır. Çözüm mimarı, hem üye hesaplarındaki kaynakları durdurabilen veya sonlandırabilen yönetim hesabında bir IAM kullanıcısı oluşturmalıdır. Bu gereksinimi hangi yaklaşım karşılar?

Doğru yaklaşım, yönetim hesabında bir IAM kullanıcısı oluşturmak ve her üye hesabında (dev ve prod) ayrı cross-account rolleri tanımlamaktır. Bu roller, ilgili üye hesabındaki kaynakları durdurma veya sonlandırma gibi en az ayrıcalıklı izinlere sahip olmalıdır. Yönetim hesabındaki IAM kullanıcısına, bu cross-account rolleri üstlenme (assume role) yetkisi verilmelidir. Bu, kullanıcının tek bir kimlik bilgisiyle farklı hesaplardaki kaynaklara güvenli ve kontrollü bir şekilde erişmesini sağlar. Diğer seçenekler neden yanlış: İlk seçenek, cross-account rolünü yönetim hesabında oluşturmayı önerir, bu da üye hesaplarındaki kaynaklara erişim için uygun değildir. Cross-account rolleri, erişilecek kaynakların bulunduğu hesapta tanımlanmalıdır. İkinci seçenek, her üye hesabında IAM kullanıcısı oluşturmayı önerir, bu da yönetim hesabındaki merkezi kontrolü ve konsolide faturalandırma yapısını bozar. Ayrıca, yönetim hesabında cross-account rolü oluşturmak yerine üye hesaplarında olmalıdır. Üçüncü seçenek, IAM kullanıcılarını üye hesaplarındaki gruplara eklemeyi önerir, ancak IAM kullanıcıları sadece kendi hesaplarındaki gruplara eklenebilir. Farklı hesaplardaki gruplara doğrudan eklenemezler.