Внутреннее веб-приложение должно вызывать API S3 в определённой учётной записи AWS, и компания хочет аутентифицироваться с помощью своего существующего IdP OpenID Connect (auth.company.com). IdP поддерживает только OIDC. Какая комбинация шагов безопасно позволит веб-приложению получить доступ к S3? (Выберите три.)

Правильные ответы описывают шаги по настройке федерации удостоверений OIDC. Создание поставщика удостоверений IAM OIDC связывает AWS с существующим IdP. Затем создается роль IAM с политикой доверия, которая позволяет IdP принимать эту роль, используя ключ контекста auth.company.com:aud (URL-адрес IdP) для проверки аудитории. Наконец, веб-приложение вызывает AssumeRoleWithWebIdentity для получения временных учетных данных, что является стандартным способом для федеративных пользователей или приложений получать доступ к ресурсам AWS. Неправильные варианты: AWS IAM Identity Center (AWS Single Sign-On) не используется для федерации приложений с внешним OIDC IdP напрямую для доступа к AWS API. Он предназначен для управления доступом пользователей к нескольким учетным записям AWS и облачным приложениям. Использование sts.amazon.com:aud в политике доверия неверно, так как ключ контекста должен соответствовать URL-адресу вашего IdP (auth.company.com:aud). GetFederationToken используется для федерации с помощью SAML или пользовательских брокеров удостоверений, а не для федерации OIDC с AssumeRoleWithWebIdentity.