AWSServiceCatalogAdminFullAccess + AWSServiceCatalogEndUserFullAccess

O Service Catalog existe para separar quem aprova uma configuração de infraestrutura de quem a usa: o administrador publica produtos revisados com uma launch role definida, e o usuário final só provisiona o que está no portfólio. Acumular os dois papéis desfaz a separação — a pessoa publica o produto que quiser, com a launch role que quiser, e o provisiona em seguida.

Provisionamento de infraestrutura com permissões elevadas via launch role definida pelo próprio solicitante, sob a aparência de uso normal do catálogo aprovado.

• Manter a curadoria do portfólio numa equipe de plataforma e o consumo nas equipes de produto.
• Revisar as launch roles associadas a cada produto — é ali que o privilégio real do catálogo está.
• Exigir aprovação registrada para inclusão ou alteração de produto no portfólio.

• https://docs.aws.amazon.com/servicecatalog/latest/adminguide/controlling_access.html