Een DevOps engineer moet ervoor zorgen dat elke gebruiker die inlogt bij de AWS Management Console wordt geauthenticeerd via de corporate identity provider (IdP) van het bedrijf. Het bedrijf gebruikt AWS Organizations. Welke combinatie van stappen zal deze vereiste afdwingen? (Kies twee.)

De correcte antwoorden zijn "Gebruik AWS IAM Identity Center (AWS SSO) en configureer SAML 2.0-federatie met de corporate IdP" en "Maak een Service Control Policy in AWS Organizations die IAM-gebruikers de mogelijkheid ontzegt om wachtwoorden aan te maken voor console-aanmelding." AWS IAM Identity Center (voorheen AWS SSO) is de primaire service voor het centraal beheren van toegang tot meerdere AWS-accounts en cloudapplicaties. Door SAML 2.0-federatie te configureren met de corporate IdP, wordt afgedwongen dat alle console-aanmeldingen via de IdP verlopen, wat voldoet aan de vereiste. Een Service Control Policy (SCP) in AWS Organizations kan worden gebruikt om dwingende, overkoepelende permissiegrenzen in te stellen voor alle accounts binnen de organisatie. Een SCP die het aanmaken van IAM-gebruikerswachtwoorden weigert, voorkomt dat IAM-gebruikers direct met een wachtwoord kunnen inloggen op de console, waardoor federatie via de IdP de enige optie wordt. GuardDuty is een bedreigingsdetectieservice en blokkeert geen aanmeldingen. Een permissions boundary in IAM Identity Center is niet de juiste manier om wachtwoordgebaseerde aanmeldingen te weigeren voor IAM-gebruikers. IAM-groepen in het managementaccount zijn niet geschikt voor het afdwingen van authenticatiemethoden over de hele organisatie.