Firma korzysta z AWS IAM Identity Center (AWS Single Sign-On) zintegrowanego z usługą Active Directory. Administrator przyznaje dostęp do nowo utworzonego konta AWS, przypisując grupę Active Directory Domain Users, ponieważ każdy pracownik jest członkiem tej grupy. Gdy pracownicy próbują się zalogować, dostęp jest odmawiany. Jakie działanie naprawi błędy logowania?

Poprawna odpowiedź to naprawienie uprawnień grupy Active Directory. AWS IAM Identity Center (dawniej AWS Single Sign-On) wymaga odpowiednich uprawnień do odczytu członkostwa w grupach z Active Directory, aby prawidłowo mapować użytkowników do zestawów uprawnień AWS. Jeśli IAM Identity Center nie ma uprawnień do odczytu grupy "Domain Users", nie będzie w stanie zweryfikować członkostwa i tym samym odmówi dostępu, nawet jeśli pracownicy są jej członkami. Pozostałe opcje są nieprawidłowe: Utworzenie oddzielnej grupy AD i dodanie do niej pracowników nie rozwiąże problemu, jeśli podstawowa kwestia uprawnień do odczytu grup przez IAM Identity Center nie zostanie naprawiona. Synchronizacja i poprawa ustawień czasu na kontrolerach domeny Active Directory jest ważna dla ogólnego funkcjonowania AD, ale rzadko jest bezpośrednią przyczyną problemów z autoryzacją w IAM Identity Center, chyba że różnica czasu jest ekstremalna i wpływa na Kerberos. Usunięcie konta i ponowne dołączenie go do AWS Organization jest drastycznym krokiem, który nie rozwiązuje problemu z uprawnieniami IAM Identity Center do odczytu grup AD.