Orbit Media использует Azure AD в качестве внешнего поставщика удостоверений с AWS IAM Identity Center. Они хотят реализовать ABAC, чтобы пользователи могли получать доступ только к ресурсам, соответствующим их costCenter. Какие действия НЕОБХОДИМЫ для достижения этой цели? (Выберите два.)

Для реализации ABAC с использованием атрибута costCenter из Azure AD необходимо выполнить два основных шага. Во-первых, в IAM Identity Center нужно сопоставить атрибут costCenter из Azure AD с тегом сессии и включить доступность атрибутов в AWS в качестве тегов сессии. Это позволяет передавать атрибут пользователя из внешнего поставщика удостоверений в AWS в виде тега принципала. Во-вторых, в наборе разрешений IAM Identity Center следует создать или изменить политики IAM, которые используют условие aws:PrincipalTag/costCenter. Это условие позволяет ограничить доступ к ресурсам, имеющим соответствующий тег costCenter, обеспечивая, что пользователи могут взаимодействовать только с ресурсами, относящимися к их центру затрат. Присоединение политики на основе ресурсов к IAM Identity Center не требуется, так как IAM Identity Center уже доверяет настроенному поставщику удостоверений. Включение ABAC для всей организации в AWS Organizations не является необходимым шагом для этой конкретной реализации, так как ABAC настраивается на уровне IAM Identity Center и наборов разрешений. Создание утверждений SAML 1.1 неверно, поскольку AWS поддерживает SAML 2.0 для федерации удостоверений, и эта версия является стандартом для передачи атрибутов.