Un architecte de solutions a implémenté la fédération SAML 2.0 avec le fournisseur d'identité (IdP) sur site de l'entreprise afin que les utilisateurs s'authentifient via un portail web fédéré pour accéder à AWS. Lorsque l'architecte teste le portail, l'accès à AWS est réussi, mais les utilisateurs de test ne peuvent pas accéder à AWS via le même portail. Quels éléments l'architecte doit-il vérifier pour s'assurer que la fédération est configurée correctement ? (Choisissez trois.)

La fédération SAML 2.0 nécessite que les rôles IAM aient des politiques d'approbation désignant le fournisseur SAML comme principal, et que les utilisateurs de test soient correctement configurés dans l'IdP (par exemple, dans les bons groupes). Le portail web doit appeler AWS STS AssumeRoleWithSAML avec l'ARN du fournisseur SAML, l'ARN du rôle IAM et l'assertion SAML. Enfin, l'IdP doit émettre des assertions SAML qui mappent correctement les utilisateurs ou groupes aux rôles IAM appropriés. La politique d'autorisations d'un utilisateur IAM n'est pas pertinente pour la fédération SAML, car les utilisateurs fédérés n'ont pas d'utilisateurs IAM correspondants. L'accessibilité DNS de l'IdP depuis les VPC AWS n'est pas directement nécessaire, car le portail web (qui est côté client) interagit avec l'IdP et AWS STS.