Компания настраивает организацию в AWS Organizations, которая содержит 10 аккаунтов AWS. Архитектор решений должен разработать решение для предоставления доступа к аккаунтам нескольким тысячам сотрудников. У компании есть существующий поставщик удостоверений (IdP). Компания хочет использовать существующий IdP для аутентификации в AWS. Какое решение удовлетворит этим требованиям?

Правильный ответ — настройка AWS IAM Identity Center (AWS Single Sign-On) и его подключение к существующему IdP. IAM Identity Center разработан для централизованного управления доступом к нескольким аккаунтам AWS и приложениям для тысяч пользователей, что соответствует требованиям сценария. Он позволяет легко интегрироваться с внешними IdP, синхронизировать пользователей и группы, а также предоставлять им доступ на основе ролей. Создание пользователей IAM в каждом аккаунте для тысяч сотрудников не масштабируемо и сложно в управлении. Настройка root-пользователей с синхронизированными паролями является крайне небезопасной практикой и нарушает принципы наименьших привилегий. AWS Resource Access Manager (AWS RAM) предназначен для совместного использования ресурсов между аккаунтами, а не для управления доступом пользователей из внешнего IdP.