一个内部 Web 应用程序必须调用特定 AWS 账户中的 S3 API，并且公司希望使用其现有的 OpenID Connect IdP (auth.company.com) 进行身份验证。该 IdP 仅支持 OIDC。以下哪组步骤将安全地使 Web 应用程序能够访问 S3？（选择三项。）

要使 Web 应用程序使用现有的 OIDC IdP 访问 S3，首先需要创建一个 IAM OIDC 身份提供商。这允许 AWS 信任您的 IdP 颁发的身份验证。然后，创建一个 IAM 角色，其信任策略允许 OIDC IdP 承担该角色，并指定正确的 aud（受众）上下文键，即您的 IdP 的 URL (auth.company.com:aud)，以确保只有来自您 IdP 的令牌可以承担此角色。最后，Web 应用程序需要调用 AssumeRoleWithWebIdentity API 操作，使用 OIDC 令牌交换临时的 AWS 凭证，然后使用这些凭证访问 S3。 选项“配置 AWS IAM Identity Center”不适用，因为 IAM Identity Center 主要用于用户登录 AWS 控制台或 CLI，而不是直接用于应用程序以编程方式访问 AWS 服务。选项“sts.amazon.com:aud”是错误的，因为 aud 应该与您的 OIDC IdP 的 URL 匹配。选项“GetFederationToken”不适用于 OIDC 身份验证，它通常用于为 IAM 用户或角色生成临时凭证。