某公司希望為使用者提供 AWS 資源的存取權限。該公司有 1,500 名使用者，並透過公司網路上的 Active Directory 使用者群組管理他們對地端資源的存取。該公司不希望使用者維護另一個身分來存取資源。解決方案架構師必須管理使用者對 AWS 資源的存取，同時保留對地端資源的存取。解決方案架構師應該怎麼做才能滿足這些要求？

正確答案是設定基於 SAML 2.0 的聯合。這允許公司將其現有的 Active Directory 身分提供者與 AWS 整合，讓使用者使用其現有的公司憑證登入。透過將 Active Directory 群組映射到 AWS IAM 角色，可以精細地控制使用者對 AWS 資源的存取權限，而無需使用者維護新的身分。 建立 IAM 使用者不符合「不希望使用者維護另一個身分」的要求，且管理 1,500 個使用者會很複雜。Amazon Cognito 主要用於應用程式使用者管理，不適用於將現有地端 Active Directory 使用者聯合到 AWS。定義跨帳戶角色本身無法解決地端 Active Directory 使用者身分驗證問題，它主要用於不同 AWS 帳戶之間的存取。