Una aplicación web interna debe llamar a las API de S3 en una cuenta específica de AWS y la empresa desea autenticarse utilizando su IdP de OpenID Connect (auth.company.com) existente. El IdP solo admite OIDC. ¿Qué combinación de pasos permitirá de forma segura que la aplicación web acceda a S3? (Elija tres)

La opción correcta es crear un proveedor de identidad de IAM OIDC, ya que esto establece la confianza entre AWS y el IdP externo. Luego, se debe crear un rol de IAM con los permisos necesarios para S3 y una política de confianza que permita al IdP OIDC asumir ese rol. La condición auth.company.com:aud es crucial porque verifica que el token de identidad fue emitido para la aplicación correcta, utilizando el nombre de dominio del IdP como prefijo para la clave de contexto, no sts.amazon.com:aud. Finalmente, la aplicación web debe usar AssumeRoleWithWebIdentity para intercambiar el token OIDC por credenciales temporales de AWS, que luego se utilizan para acceder a S3. GetFederationToken no es apropiado para la federación OIDC. IAM Identity Center no es necesario para este caso de uso específico de federación OIDC directa.