Uma empresa deseja que seus funcionários façam login no Console de Gerenciamento da AWS usando suas credenciais existentes armazenadas em um Microsoft Active Directory on-premises. Cada funcionário deve ter permissões para EC2, S3 e Lambda com base em sua função. Qual solução oferece isso com a MENOR sobrecarga operacional?

A opção correta, configurar o AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) e estabelecer uma relação de confiança, é a solução com a menor sobrecarga operacional. Isso permite que os usuários se autentiquem diretamente no AD on-premises e acessem o Console de Gerenciamento da AWS usando suas credenciais existentes, sem a necessidade de sincronização de usuários ou gerenciamento de um diretório separado. As funções do IAM podem ser mapeadas para grupos do AD para controle de acesso baseado em função. A integração direta via LDAP com o IAM não é uma funcionalidade nativa do IAM para autenticação de console. Criar um custom identity broker exige desenvolvimento e manutenção significativos. O Amazon Cognito é mais adequado para aplicativos web/móveis e exigiria a sincronização ou federação de usuários para pools de usuários do Cognito, adicionando complexidade.