Erstelle mir ein Architektur-/Ablauf-Diagramm als draw.io / diagrams.net Datei
(mxGraph-XML, .drawio) - editierbar, keine PNG. Gib den kompletten XML-Code aus.

THEMA
SAML-Federation zwischen Microsoft Entra ID (Azure AD) und Amazon Cognito fuer
interne Web-Tools. Cognito ist SAML Service Provider / Identity-Broker, Entra ist
SAML Identity Provider. Titel: "Entra ID (Azure AD) <-> Amazon Cognito",
Untertitel: "SAML-Federation fuer die Capita Web-Tools · Shared Cognito Pool".

KOMPONENTEN
- Mitarbeiter - "User / Browser" (Kategorie: User, grau; Icon: users)
- Web-Tools - "Apps Portal / CloudFront+S3" (Kategorie: CDN, lila; Icon: cloudfront)
- Amazon Cognito - "User Pool · Broker/SP" (Kategorie: Auth, rot; Icon: cognito)
- Pre-Token Lambda - "App-Zugriff+Gruppen" (Kategorie: Compute, orange; Icon: lambda)
- DynamoDB - "app-access · Gruppen" (Kategorie: Database, magenta; Icon: dynamodb)
- Microsoft Entra ID - "IdP · MFA · Cond. Access" (Azure, blau; Azure-AD-Icon)

Container:
- AWS Cloud · eu-central-1 umschliesst Web-Tools/Cognito/Lambda/DynamoDB.
- Microsoft Azure · Entra ID Tenant umschliesst Entra.

ABLAUF
1 Aufruf (HTTPS): User -> Web-Tools
2 Login-Redirect · PKCE: Web-Tools -> Cognito
3 SAML AuthnRequest: Cognito -> Entra (blau)
4 Anmeldung + MFA / Conditional Access: am Entra-Knoten als Hinweis-Box
5 SAML-Assertion, emailaddress = UPN: Entra -> Cognito (blau)
6 Pre-Token-Trigger: Cognito -> Lambda
7 prueft Gruppen: Lambda -> DynamoDB
8 Token (JWT) -> eingeloggt: Cognito -> Web-Tools (gruen, Erfolg)