背景：

• AWS CloudFormation を使って、既存の手動で作成した非本番環境を再現しようとしています。

• この環境には Amazon EC2 インスタンス があり、インスタンスには インスタンスプロファイル が設定されており、これを使って 親アカウント のロール（役割）を引き受ける（assume）ことができます。

• その後、CloudFormation テンプレートでこのロールを再作成し、同じロール名を使用しています。

• しかし、CloudFormation テンプレートを 子アカウント で起動すると、EC2 インスタンスは親アカウントのロールを引き受けられなくなり、「権限不足」 というエラーが表示されます。

問題の本質：

解決方法：

各選択肢の説明：

1. A. 親アカウントで、EC2 インスタンスが引き受ける必要のあるロールの信頼ポリシーを編集する
• 正しい設定を確認して、ロールが正常に引き受けられるようにする方法です。ターゲットロール ARN（役割の識別子）が正しいことを確認し、設定を保存します。ターゲットロール ARN が正しいかを確認するだけでは、子アカウントからのアクセスを許可する設定にはなりません。

2. B. 親アカウントで、EC2 インスタンスが引き受ける必要のあるロールの信頼ポリシーを編集し、子アカウントのルートプリンシパルに対して sts:AssumeRole アクションを許可する
• これは 正解 です。親アカウントのロールの信頼ポリシーを修正し、子アカウント全体（または子アカウントのルートユーザー）がそのロールを引き受けられるようにする方法です。

3. C. CloudFormationスタックを再度更新し、CAPABILITY_NAMED_IAM 機能のみを指定する
• これは 解決策ではありません。CAPABILITY_NAMED_IAM は IAM リソースに関連する変更を許可するオプションですが、権限不足の問題の解決には関係ありません。

4. D. CloudFormationスタックを再度更新し、CAPABILITY_IAM と CAPABILITY_NAMED_IAM の両方を指定する
• これも 解決策ではありません。CAPABILITY_IAM と CAPABILITY_NAMED_IAM を指定することで IAM リソースの変更が許可されますが、根本的な権限不足の問題には関係しません。

正しい解決策：

• B の選択肢が正解です。親アカウントのロールの信頼ポリシーを編集して、子アカウントの EC2 インスタンスがロールを引き受けられるように設定を変更することで、問題を解決できます。

まとめ：

• 親アカウントのロールの信頼ポリシーに 子アカウントの EC2 インスタンスがロールを引き受けることを許可する設定を追加することが、最も効果的な解決方法です。