Eine interne Webanwendung muss S3-APIs in einem bestimmten AWS-Konto aufrufen, und das Unternehmen möchte sich mit seinem bestehenden OpenID Connect IdP (auth.company.com) authentifizieren. Der IdP unterstützt nur OIDC. Welche Kombination von Schritten ermöglicht der Webanwendung den sicheren Zugriff auf S3? (Wählen Sie drei.)

Um eine interne Webanwendung sicher mit S3 über einen OIDC IdP zu verbinden, sind drei Schritte erforderlich. Zuerst müssen Sie einen IAM OIDC-Identitätsanbieter in AWS erstellen. Dieser fungiert als Vertrauensanker zwischen AWS und Ihrem externen IdP, indem er die Anbieter-URL, das Publikum und die Signierschlüssel Ihres bestehenden IdP registriert. Zweitens erstellen Sie eine IAM-Rolle mit den notwendigen S3-Berechtigungen. Die Vertrauensrichtlinie dieser Rolle muss so konfiguriert werden, dass Ihr OIDC IdP die Rolle übernehmen kann, wobei der Kontextschlüssel auth.company.com:aud (Ihre IdP-URL) verwendet wird, um die Authentifizierung zu validieren. Die Option mit sts.amazon.com:aud ist falsch, da dies ein AWS-spezifischer Kontextschlüssel ist und nicht der IdP-URL entspricht. Drittens muss die Webanwendung so konfiguriert werden, dass sie AssumeRoleWithWebIdentity aufruft. Dies ist der korrekte API-Aufruf, um temporäre Anmeldeinformationen von AWS zu erhalten, nachdem sich der Benutzer über den OIDC IdP authentifiziert hat. GetFederationToken ist für andere Szenarien gedacht, typischerweise für die Föderation mit SAML oder benutzerdefinierten Identitätssystemen, nicht direkt mit OIDC Web Identity.