L'entreprise utilise un Active Directory sur site pour l'authentification et souhaite que les employés se connectent à tous les comptes AWS d'une configuration AWS Organizations en utilisant les mêmes identités. Un VPN Site-to-Site connecte déjà le réseau sur site à chaque compte AWS. La politique de l'entreprise exige un accès conditionnel basé sur les groupes et les rôles AD, et toutes les identités d'utilisateur doivent être gérées à un seul endroit. Quelle approche répond à ces exigences ?

L'option correcte répond à toutes les exigences. AWS IAM Identity Center (anciennement AWS Single Sign-On) est conçu pour gérer l'accès centralisé à plusieurs comptes AWS au sein d'une AWS Organizations. La fédération avec Active Directory via SAML 2.0 permet d'utiliser les identités AD existantes. Le provisionnement automatique des utilisateurs et des groupes avec SCIM v2.0 assure que les identités sont gérées à un seul endroit et synchronisées. L'accès conditionnel basé sur les groupes et les rôles AD est pris en charge par le contrôle d'accès basé sur les attributs (ABAC), qui permet de définir des autorisations granulaires en fonction des attributs des utilisateurs ou des groupes provenant d'AD. Les autres options sont incorrectes car : Utiliser IAM Identity Center comme source d'identité propre ne permet pas d'utiliser les identités Active Directory existantes, ce qui contredit l'exigence. Configurer IAM dans un seul compte avec un fournisseur d'identité SAML 2.0 ou OIDC nécessiterait une configuration complexe pour chaque compte AWS et ne fournirait pas une gestion centralisée des identités et de l'accès à l'échelle de l'organisation. De plus, la gestion des utilisateurs IAM mappés aux utilisateurs fédérés est moins efficace que l'approche centralisée d'IAM Identity Center.