так при маппинге группы на таргет эккаунт в таргет эккаунте создается IAM role вида AWSReservedSSO_{PermissionSetName}_{GUID} что мешает эту роль добавить в aws-auth ?