La empresa utiliza un Active Directory on-premises para la autenticación y quiere que los empleados inicien sesión en todas las cuentas de AWS en una configuración de AWS Organizations utilizando las mismas identidades. Site-to-Site VPN ya conecta la red on-premises con cada cuenta de AWS. La política de la empresa requiere acceso condicional basado en grupos y roles de AD, y todas las identidades de usuario deben gestionarse en un único lugar. ¿Qué enfoque satisface estos requisitos?

La opción correcta es la que mejor se alinea con todos los requisitos. AWS IAM Identity Center (anteriormente AWS Single Sign-On) está diseñado para gestionar el acceso centralizado a múltiples cuentas de AWS en una organización. La federación con Active Directory on-premises mediante SAML 2.0 permite utilizar las identidades existentes. El aprovisionamiento automático con SCIM v2.0 garantiza que los usuarios y grupos de AD se sincronicen con IAM Identity Center, manteniendo una única fuente de verdad para las identidades. ABAC permite el control de acceso condicional basado en atributos de usuario y grupo, cumpliendo con la política de la empresa. Las opciones incorrectas no cumplen todos los requisitos: La segunda opción usa IAM Identity Center como fuente de identidad, no Active Directory, lo que no cumple el requisito de usar identidades on-premises. La tercera opción requiere configurar IAM en una cuenta y luego gestionar el acceso entre cuentas, lo cual es más complejo y no centraliza la gestión de identidades como IAM Identity Center. Además, mapear usuarios de IAM a usuarios federados no es la práctica recomendada para la federación con AD. La cuarta opción utiliza OIDC, que es menos común para la federación con Active Directory on-premises que SAML 2.0, y también carece de la gestión centralizada de IAM Identity Center para múltiples cuentas.