Orbit Media utiliza Azure AD como proveedor de identidad externo con AWS IAM Identity Center. Quieren implementar ABAC para que los usuarios puedan acceder solo a los recursos que coincidan con su costCenter. ¿Qué acciones son NECESARIAS para lograr esto? (Elija dos).

Para implementar ABAC con Azure AD y AWS IAM Identity Center, primero debe mapear el atributo costCenter de Azure AD a una etiqueta de sesión en IAM Identity Center y habilitar su disponibilidad. Esto permite que el atributo del IdP se pase a las sesiones de AWS como una etiqueta de principal. Luego, en el conjunto de permisos de IAM Identity Center, debe crear o modificar políticas de IAM que utilicen la condición aws:PrincipalTag/costCenter. Esta condición restringe el acceso a los recursos solo si la etiqueta costCenter del principal coincide con la etiqueta costCenter del recurso. La opción de adjuntar una política basada en recursos a IAM Identity Center es incorrecta porque IAM Identity Center no admite políticas basadas en recursos de esa manera. Habilitar ABAC en AWS Organizations no es un paso directo para la propagación de etiquetas desde un IdP; ABAC se configura a nivel de cuenta o servicio. Crear reclamaciones SAML 1.1 es incorrecto, ya que AWS IAM Identity Center admite SAML 2.0 y no hay una restricción de versión específica que requiera SAML 1.1 para la asignación de atributos.