Um engenheiro de segurança está configurando a federação SAML 2.0 para um ambiente multi-conta. O AWS IAM Identity Center está configurado como o provedor de identidade (IdP), e as funções do IAM concedem acesso às contas da AWS. Um usuário federado relata que a autenticação falha com a nova configuração. Qual é a maneira mais eficiente operacionalmente para solucionar o problema?

A opção correta é a mais eficiente operacionalmente porque a falha na autenticação SAML 2.0 geralmente indica um problema na troca de mensagens entre o provedor de identidade (IdP) e o provedor de serviço (SP). Revisar os logs do SAML IdP (neste caso, AWS IAM Identity Center) é o primeiro passo crucial para identificar erros específicos na fase de autenticação ou autorização SAML. Complementar essa análise com o AWS CloudTrail permite verificar quais chamadas de API o usuário tentou fazer após uma suposta autenticação bem-sucedida, confirmando se o problema está na federação ou na permissão subsequente. As outras opções são menos eficientes: Usar o simulador de políticas do IAM antes de verificar os logs do IdP é prematuro, pois o problema pode ser na federação, não nas permissões. O IAM Access Advisor mostra o acesso recente, mas não ajuda a diagnosticar uma falha de autenticação SAML. Recriar o IdP é uma medida drástica e ineficiente para solucionar um problema que pode ser diagnosticado com logs existentes.