Архитектор решений реализовал федерацию SAML 2.0 с локальным поставщиком удостоверений (IdP) компании, чтобы пользователи могли проходить аутентификацию через федеративный веб-портал для доступа к AWS. Когда архитектор тестирует портал, доступ к AWS успешен, но тестовые пользователи не могут получить доступ к AWS через тот же портал. Какие элементы должен проверить архитектор, чтобы убедиться, что федерация настроена правильно? (Выберите три.)

Пользователи не могут получить доступ к AWS, если их роли IAM не имеют правильных политик доверия, которые указывают настроенного поставщика SAML в качестве субъекта. Также необходимо убедиться, что тестовые пользователи представлены в IdP и правильно сопоставлены с группами. Веб-портал должен вызывать AWS STS AssumeRoleWithSAML, передавая правильный ARN поставщика SAML, ARN роли IAM и утверждение SAML от IdP для успешной федерации. Наконец, IdP должен выдавать утверждения SAML, которые корректно сопоставляют пользователей или группы с соответствующими ролями IAM и их разрешениями. Неверные варианты: Политика разрешений пользователя IAM явно разрешает этому пользователю IAM использовать федерацию SAML: При федерации SAML пользователи не имеют прямых пользователей IAM; они принимают роли IAM. DNS-имя хоста локального IdP доступно из VPC в среде AWS: Доступ к IdP осуществляется из браузера пользователя, а не напрямую из AWS VPC, поэтому доступность из VPC не является прямой причиной проблемы.