AWS SAA 题库

点击卡片任意位置翻面查看正确答案与解析，也可以用键盘 ← → 切换题目。

第 687 / 1018 题单选题

一家公司在AWS Organizations中管理AWS账户。AWS IAM Identity Center（AWS Single Sign-On）和AWS Control Tower已经配置为这些账户。公司希望跨所有账户管理多个用户的权限。这些权限将由多个IAM用户使用，并且必须在开发人员和管理员团队之间进行划分。每个团队需要不同的权限。公司希望的解决方案包括新加入这两个团队的用户。 哪种解决方案将以最少的运维开销满足这些要求？

  • A. 在IAM Identity Center为每个账户创建独立的用户。在IAM Identity Center创建单独的开发人员和管理员组。将用户分配到相应的组中。为每个组创建自定义IAM策略以设置细粒度的权限。
  • B. 在IAM Identity Center为每个账户创建独立的用户。在IAM Identity Center创建单独的开发人员和管理员组。将用户分配到相应的组中。根据需要将AWS托管IAM策略附加到每个用户，以实现细粒度的权限控制。
  • C. 在IAM Identity Center创建独立的用户。在IAM Identity Center创建新的开发人员和管理员组。创建包含每个组所需IAM策略的新权限集。将新组分配给相应的账户。将新权限集分配给新组。当新用户加入时，将其添加到相应的组中。
  • D. 在IAM Identity Center创建独立的用户。创建包含每个用户所需IAM策略的新权限集。将用户分配到相应的账户。在特定账户内为用户授予额外的IAM权限。当新用户加入时，将其添加到IAM Identity Center并分配给相应的账户。
第 687 / 1018 题正确答案 C
  • C. 在IAM Identity Center创建独立的用户。在IAM Identity Center创建新的开发人员和管理员组。创建包含每个组所需IAM策略的新权限集。将新组分配给相应的账户。将新权限集分配给新组。当新用户加入时，将其添加到相应的组中。

解析

选项C中的解决方案通过在IAM Identity Center中创建新的开发人员和管理员组以及为这些组创建新的权限集，实现了最小的运维开销。这种方法可以将权限管理分解为组级别，并使其易于管理。当新用户加入时，只需将他们添加到相应的组中即可。

AI 解析

AWS Organizations环境中使用IAM Identity Center进行跨账户权限管理时，权限集（Permission Sets）是核心机制。权限集允许定义可重用的权限模板，并与AWS账户和组关联。正确选项通过创建对应开发人员和管理员的组，并将权限集分配给这些组，确保用户加入组时自动继承预定义权限，无需逐账户配置。AWS文档指出权限集可应用于多个账户，结合组管理用户，减少重复操作。其他选项或涉及逐账户操作（A、B）或未充分利用组与权限集的联动（D），运维成本较高。