Uma empresa está estabelecendo várias contas AWS em um único ambiente AWS Organizations e precisa de uma solução de login centralizada que se integre ao AWS Organizations e a um provedor de identidade (IdP) SAML 2.0 de terceiros. Qual é a abordagem recomendada para gerenciar centralmente o login e as permissões em todas as contas?

A abordagem recomendada é habilitar e configurar o AWS Single Sign-On (AWS SSO) e conectá-lo ao IdP SAML de terceiros. O AWS SSO foi projetado especificamente para gerenciar o acesso centralizado a várias contas AWS em uma organização, integrando-se facilmente com provedores de identidade externos via SAML 2.0. Ele simplifica a atribuição de permissões e o provisionamento de usuários em todas as contas. Configurar um grupo de usuários do Amazon Cognito e integrá-lo ao IdP de terceiros não é a melhor solução, pois o Cognito é mais adequado para autenticação de aplicativos e não para gerenciamento centralizado de acesso a contas AWS em uma organização. Criar federação SAML entre o IdP de terceiros e o IAM em cada conta separadamente é complexo e não escalável, exigindo configuração manual em cada conta. Integrar diretamente o IdP de terceiros ao AWS Organizations não é uma funcionalidade nativa do AWS Organizations para autenticação de usuários; o AWS SSO atua como a camada de integração para esse fim.