ある企業が、社外のパートナー企業のユーザーに対して自社の AWS リソースへの一時的なアクセスを許可する必要がある。パートナー企業はすでに独自の IdP（アイデンティティプロバイダー）を持っており、SAML 2.0 をサポートしている。パートナーのユーザーは自社の IdP で認証した後、最小限の手順で AWS マネジメントコンソールにアクセスできるようにしたい。最も適切なアプローチはどれか。

1. A. パートナーのユーザー全員分の IAM ユーザーを作成し、一時パスワードを発行してコンソールにアクセスさせる。
2. B. AWS IAM Identity Center（SSO）でパートナーの SAML 2.0 IdP を外部 IdP として設定し、フェデレーテッドアクセスを構成する。
3. C. パートナー企業の AWS アカウントとのクロスアカウント IAM ロールを構成し、パートナーのユーザーが AssumeRole できるようにする。
4. D. Amazon Cognito ユーザープールを作成してパートナーのユーザーを登録し、Cognito の認証トークンで AWS リソースにアクセスさせる。