一家公司使用与 Active Directory 集成的 AWS IAM Identity Center (AWS Single Sign-On)。管理员通过分配 Active Directory Domain Users 组来授予对新创建的 AWS 账户的访问权限，因为每个员工都是该组的成员。当员工尝试登录时，他们被拒绝访问。什么操作可以解决登录失败问题？

正确答案是修复 Active Directory 组的权限，以便 IAM Identity Center 可以读取该组成员身份。当 IAM Identity Center 与 Active Directory 集成时，它需要适当的权限来读取 Active Directory 中的组和用户成员身份。如果 IAM Identity Center 无法读取“Domain Users”组的成员身份，即使员工是该组的成员，它也无法正确地将访问权限分配给 AWS 账户，从而导致登录失败。 创建一个单独的 AD 组并添加员工是额外的步骤，并不能解决根本的权限问题。同步时间设置通常与 Kerberos 身份验证问题有关，但在这里不是主要原因。删除并重新加入账户是极端且不必要的，因为问题在于 IAM Identity Center 与 Active Directory 之间的权限配置。