外部IdPで多数アカウントへサインイン

正解は ア です。 多数アカウントへの社員のシングルサインオンは IAM Identity Center が基本です。 SCIM で利用者を同期すれば、Entra IDで無効にした利用者は自動でアクセスできなくなります。 方法 アカウント数への対応 退職者の自動停止 Identity Center＋SAML＋SCIM 許可セットを割り当てるだけ ○ アカウントごとのSAMLプロバイダー 150か所で設定 △ Cognito 社員のAWSアクセス用ではない － SAMLで認証し、SCIMで同期し、許可セットで権限を一元管理できる。 動作はするが、150アカウントでプロバイダーとロールを管理する必要があり、運用負荷が大きい。 Cognitoはアプリの利用者向けで、社員のAWSアカウントへのサインインには使わない。 IAMユーザーを廃止する方針に反し、長期の認証情報も残る。

ある企業はAWS Organizationsで150のアカウントを管理している。社員はMicrosoft Entra IDで管理されており、IAMユーザーを廃止して、Entra IDのグループに応じた権限で各アカウントへサインインさせたい。

退職者のアクセスは自動で止まるようにし、運用負荷を最小にしたい。

最も適切なものを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
Identity CenterとEntra IDをSAMLで連携し、SCIMで同期したグループに許可セットを割り当てる
イ
各アカウントにIAMのSAMLプロバイダーを作り、Entra IDのグループごとに信頼ポリシーを設定したIAMロールを作成する
ウ
Amazon Cognitoのユーザープールを作り、Entra IDを外部IdPとして登録する
エ
Entra IDの利用者ごとにIAMユーザーを自動作成するLambda関数を作り、退職時に削除する