ある企業は、50以上のAWSアカウントをAWS Organizationsで管理しています。社内の既存IdP（外部SAML 2.0プロバイダ）で認証する従業員に対し、所属部門のタグに基づいて各アカウントのリソースへのアクセスを動的に制御したいと考えています。IAMユーザーを個別に作成せず、最小の運用負荷で権限を一元管理する方法はどれですか。
AWS IAM Identity Centerは外部SAML 2.0 IdPとフェデレーション連携でき、許可セットを各アカウントへ一元的に展開できます。IAMユーザーを作らず、IdPのユーザー属性をセッションタグとして渡すABACにより、部門タグに基づく動的なアクセス制御を最小の運用負荷で実現できます。 選択肢Bの各アカウントへのIAMユーザー作成は、認証情報の配布や管理が煩雑で一元管理にならず、既存IdPも活用できません。 選択肢Cの共有IAMユーザーは個人の追跡ができないアンチパターンで、ロールも50以上のアカウントへ自動展開されません。 選択肢DのAmazon Cognitoは、Webやモバイルアプリ向けのエンドユーザー認証サービスであり、従業員のAWSアカウントへのSSOには適しません。