Ein Lösungsarchitekt hat die SAML 2.0-Föderation mit dem lokalen Identitätsanbieter (IdP) des Unternehmens implementiert, sodass Benutzer sich über ein föderiertes Webportal authentifizieren, um auf AWS zuzugreifen. Wenn der Architekt das Portal testet, ist der Zugriff auf AWS erfolgreich, aber Testbenutzer können über dasselbe Portal nicht auf AWS zugreifen. Welche Punkte sollte der Architekt überprüfen, um sicherzustellen, dass die Föderation korrekt konfiguriert ist? (Wählen Sie drei.)

Die IAM-Rollen für föderierte Benutzer müssen Vertrauensrichtlinien enthalten, die den SAML-Anbieter als Principal auflisten, damit AWS weiß, wem es vertrauen soll. Testbenutzer müssen im IdP korrekt konfiguriert sein, um die richtigen Rollen zu erhalten. Das Webportal muss AssumeRoleWithSAML mit den korrekten ARNs und der SAML-Assertion aufrufen, um temporäre Anmeldeinformationen zu erhalten. Der IdP muss SAML-Assertions ausstellen, die Benutzer oder Gruppen korrekt IAM-Rollen zuordnen, um die Berechtigungen zu definieren. Die Option, dass die Berechtigungsrichtlinie eines IAM-Benutzers diesem IAM-Benutzer explizit erlaubt, die SAML-Föderation zu verwenden, ist falsch, da bei SAML-Föderation keine IAM-Benutzer verwendet werden, sondern temporäre Rollen. Die Option, dass der DNS-Hostname des lokalen IdP von den VPCs in der AWS-Umgebung erreichbar ist, ist falsch, da der Zugriff auf den IdP vom Webportal des Benutzers und nicht direkt von den AWS-VPCs erfolgt.