Bir e-ticaret şirketi bir AWS Control Tower landing zone oluşturuyor ve AWS IAM Identity Center'daki (AWS SSO) kimlik kaynağını harici bir SAML 2.0 IdP kullanacak şekilde yapılandırdı. DevOps ekibi, her ekibin yalnızca kendi kaynaklarını oluşturup yönetebilmesi için en az ayrıcalıklı bir izin modeli istiyor. Bu gereksinimleri hangi eylem kombinasyonu karşılayacaktır? (Üç tane seçin.)

Doğru cevaplar, en az ayrıcalık ilkesini uygularken ekiplerin kendi kaynaklarını yönetmesini sağlar. İzin setleri oluşturmak ve bunlara aws:PrincipalTag koşul anahtarını içeren satır içi politikalar eklemek, ekiplerin yalnızca etiketlenmiş kaynaklara erişimini kısıtlar. Harici IdP'de gruplar oluşturup bunları IAM Identity Center'daki hesaplara ve izin setlerine atamak, kullanıcıların yetkilendirilmesini merkezi olarak yönetir. Son olarak, IAM Identity Center'da erişim kontrolü için öznitelikleri etkinleştirmek ve IdP'den gelen öznitelikleri anahtar-değer çiftleri olarak eşlemek, etiket tabanlı erişim kontrolünü dinamik ve ölçeklenebilir hale getirir. Diğer seçenekler yanlıştır çünkü: IAM politikaları oluşturmak tek başına yeterli değildir; IAM Identity Center ile entegrasyon ve izin setleri gereklidir. Harici IdP gruplarını doğrudan organizasyonel birimlere ve IAM politikalarına atamak, IAM Identity Center'ın yeteneklerini tam olarak kullanmaz ve daha karmaşık bir yönetim modeli sunar. Kullanıcıları etiketlemek ve bu etiketleri anahtar-değer çiftleri olarak eşlemek yerine, IdP'den gelen öznitelikleri eşlemek daha otomatik ve tutarlı bir yaklaşımdır.