Después de la configuración inicial de AWS IAM Identity Center, ¿qué se debe hacer a continuación para que los empleados inicien sesión con sus credenciales existentes de Active Directory desde un IdP SAML externo y los grupos de AD se aprovisionen en IAM?

La respuesta correcta es establecer el origen de identidad en el proveedor de identidad SAML externo y habilitar el aprovisionamiento automático de usuarios y grupos utilizando el protocolo SCIM. Esto se debe a que AWS IAM Identity Center (anteriormente AWS SSO) permite la integración con proveedores de identidad (IdP) externos mediante SAML 2.0 para la autenticación de usuarios. Para sincronizar usuarios y grupos de Active Directory (AD) desde el IdP externo a IAM Identity Center, se utiliza el protocolo SCIM (System for Cross-domain Identity Management) para el aprovisionamiento automático. Las otras opciones son incorrectas porque: Usar AWS Directory Service como origen de identidad no permite la integración directa con un IdP SAML externo para las credenciales existentes de AD, ni el aprovisionamiento de grupos de AD a través de SAML. Usar un AD Connector como origen de identidad es para conectar un directorio local a AWS, no para un IdP SAML externo, y el aprovisionamiento automático de usuarios y grupos se realiza con SCIM, no solo para AD Connector. Habilitar el aprovisionamiento automático de usuarios y grupos a través de SAML es incorrecto; SAML se usa para la autenticación, mientras que SCIM se usa para el aprovisionamiento de identidades.