Uma empresa migra aplicações para a AWS em várias contas gerenciadas com o AWS Organizations. A equipe de segurança precisa de single sign-on (SSO) em todas as contas, enquanto continua a gerenciar usuários e grupos no Microsoft Active Directory auto-gerenciado on-premises. Qual solução atende a esses requisitos?

A resposta correta é habilitar o AWS Single Sign-On (AWS SSO) e criar uma relação de confiança de floresta bidirecional com o Microsoft Active Directory auto-gerenciado usando o AWS Directory Service para Microsoft Active Directory. O AWS SSO permite o acesso centralizado a várias contas AWS e aplicações, e a relação de confiança bidirecional é necessária para que o AWS SSO possa autenticar usuários diretamente do Active Directory on-premises e para que o Active Directory possa reconhecer o domínio do AWS Directory Service. A opção de relação de confiança unidirecional está incorreta porque, embora permita que o AWS Directory Service confie no Active Directory on-premises, não permite que o Active Directory on-premises confie no AWS Directory Service, o que é necessário para a integração completa e o gerenciamento de usuários. Usar apenas o AWS Directory Service sem o AWS SSO não fornece a funcionalidade de SSO para múltiplas contas AWS. Implantar um IdP on-premises é uma solução mais complexa e não é a abordagem nativa e simplificada que o AWS SSO oferece para este cenário.