某公司使用與 Active Directory 整合的 AWS IAM Identity Center (AWS Single Sign-On)。管理員透過指派 Active Directory Domain Users 群組來授予對新建立的 AWS 帳戶的存取權限，因為每位員工都是該群組的成員。當員工嘗試登入時，他們被拒絕存取。哪個動作可以解決登入失敗的問題？

正確答案是修復 Active Directory 群組的權限，以便 IAM Identity Center 可以讀取該群組的成員資格。當 IAM Identity Center 無法讀取 Active Directory 群組的成員資格時，即使員工是該群組的成員，也無法驗證其存取權限。修復權限後，IAM Identity Center 就能正確識別群組成員，並授予他們對 AWS 帳戶的存取權。 建立一個單獨的 AD 群組並將員工新增到其中，雖然可能解決問題，但並非根本原因，且會增加管理複雜性。同步並更正 Active Directory 網域控制站上的時間設定通常與驗證失敗無關，除非時間偏差極大導致 Kerberos 票證問題，但這不是 IAM Identity Center 整合的常見問題。移除該帳戶並將其重新加入 AWS Organization 是一個破壞性操作，且無法解決底層的權限問題。