L'azienda utilizza un'Active Directory on-premises per l'autenticazione e desidera che i dipendenti accedano a tutti gli account AWS in una configurazione AWS Organizations utilizzando le stesse identità. Una Site-to-Site VPN collega già la rete on-premises a ogni account AWS. La policy aziendale richiede l'accesso condizionale basato su gruppi e ruoli AD e tutte le identità utente devono essere gestite in un unico posto. Quale approccio soddisfa questi requisiti?

L'opzione corretta soddisfa tutti i requisiti. AWS IAM Identity Center (in precedenza AWS Single Sign-On) è progettato per la gestione centralizzata degli accessi in un ambiente AWS Organizations. La federazione con Active Directory tramite SAML 2.0 consente di utilizzare le identità AD esistenti. SCIM v2.0 garantisce il provisioning automatico e la sincronizzazione di utenti e gruppi, mantenendo la gestione delle identità in un unico posto. L'accesso condizionale basato su gruppi e ruoli AD è supportato e l'ABAC (Attribute-Based Access Control) consente un controllo granulare basato su attributi AD. Le altre opzioni sono errate perché: L'utilizzo di IAM Identity Center come origine dell'identità non soddisfa il requisito di usare Active Directory on-premises. La configurazione di IAM con un provider SAML 2.0 in un singolo account richiederebbe una gestione complessa per gli altri account AWS e non offre la gestione centralizzata di IAM Identity Center. L'utilizzo di OIDC non è la soluzione preferita per la federazione con Active Directory on-premises in questo contesto e presenta le stesse limitazioni di gestione multi-account dell'opzione SAML 2.0.