Een interne webapplicatie moet S3 API's aanroepen in een specifiek AWS-account en het bedrijf wil authenticeren met behulp van zijn bestaande OpenID Connect IdP (auth.company.com). De IdP ondersteunt alleen OIDC. Welke combinatie van stappen stelt de webapplicatie veilig in staat om toegang te krijgen tot S3? (Kies drie.)

Om een webapplicatie veilig toegang te geven tot S3 met een bestaande OIDC IdP, moet eerst een IAM OIDC identity provider worden aangemaakt in AWS. Dit registreert de externe IdP bij AWS door de provider-URL, audience en signing keys op te geven, zodat AWS de authenticatieverzoeken van de IdP kan vertrouwen. Vervolgens moet een IAM-rol worden gecreëerd met de benodigde S3-permissies. Het trust policy van deze rol moet de OIDC IdP toestaan de rol aan te nemen, en de voorwaarde moet controleren of de auth.company.com:aud context key (de audience van de IdP) overeenkomt met de verwachte applicatie-ID (appidfromidp). Ten slotte moet de webapplicatie de AWS STS API-actie AssumeRoleWithWebIdentity aanroepen. Deze actie wisselt een ID-token van de OIDC IdP in voor tijdelijke AWS-credentials, die de applicatie vervolgens kan gebruiken om geauthenticeerde S3 API-aanroepen te doen. Incorrecte opties: AWS IAM Identity Center (voorheen AWS Single Sign-On) is bedoeld voor menselijke gebruikers en niet voor programmatische toegang van applicaties. Het gebruik van sts.amazon.com:aud als context key is onjuist; de audience moet die van de externe IdP zijn. GetFederationToken wordt gebruikt voor federatie met SAML of voor het verkrijgen van tijdelijke credentials voor IAM-gebruikers, niet voor OIDC-federatie.