Uma empresa precisa usar seu diretório LDAP on-premises para autenticar usuários no Console de Gerenciamento da AWS, mas o serviço de diretório não é compatível com SAML. Qual solução atende a esse requisito?

A solução correta envolve desenvolver um broker de identidade personalizado on-premises. Como o LDAP não suporta SAML, o broker pode autenticar usuários contra o LDAP e, em seguida, usar o AWS Security Token Service (AWS STS) para assumir uma função (role) do IAM, obtendo credenciais temporárias para o Console de Gerenciamento da AWS. Habilitar o AWS IAM Identity Center (AWS Single Sign-On) entre a AWS e o LDAP on-premises não funcionaria diretamente, pois o Identity Center requer um provedor de identidade compatível com SAML, como o Azure AD ou Okta, ou o próprio AWS Managed Microsoft AD. Criar uma política do IAM que use credenciais da AWS e integrar a política ao LDAP não é uma solução de autenticação. Políticas do IAM definem permissões, não métodos de autenticação de usuários externos. Configurar um processo que rotacione as credenciais do IAM sempre que as credenciais do LDAP forem atualizadas não resolve o problema de autenticação inicial do usuário do LDAP no Console da AWS e pode ser uma prática insegura.