Firma e-commerce buduje landing zone AWS Control Tower i skonfigurowała źródło tożsamości w AWS IAM Identity Center (AWS SSO) tak, aby używało zewnętrznego dostawcy tożsamości (IdP) SAML 2.0. Zespół DevOps chce zastosować model uprawnień o najniższych możliwych uprawnieniach (least-privilege), aby każdy zespół mógł tworzyć i zarządzać tylko własnymi zasobami. Jaka kombinacja działań spełni te wymagania? (Wybierz trzy.)

Prawidłowe odpowiedzi zapewniają kontrolę dostępu opartą na atrybutach (ABAC) i zasadę najniższych uprawnień. Tworzenie zestawów uprawnień z politykami inline używającymi aws:PrincipalTag pozwala na dynamiczne zarządzanie uprawnieniami w oparciu o tagi przypisane do podmiotów. Utworzenie grupy w zewnętrznym IdP i przypisanie jej do kont i zestawów uprawnień w IAM Identity Center efektywnie mapuje role użytkowników z IdP do uprawnień AWS. Włączenie atrybutów do kontroli dostępu w IAM Identity Center i mapowanie atrybutów z IdP jako par klucz-wartość umożliwia użycie tych atrybutów w politykach IAM do precyzyjnego kontrolowania dostępu. Pozostałe opcje są nieprawidłowe, ponieważ: Tworzenie polityk IAM z aws:PrincipalTag bez zestawów uprawnień nie jest standardowym podejściem w Control Tower/IAM Identity Center. Przypisywanie grup do jednostek organizacyjnych i polityk IAM nie jest bezpośrednim mechanizmem zarządzania uprawnieniami użytkowników w IAM Identity Center. Tagowanie użytkowników bez mapowania atrybutów z IdP nie zapewnia automatycznej synchronizacji i zarządzania atrybutami.