Uma empresa usa ADFS on-premises com SSO para acesso ao Console de Gerenciamento da AWS. Uma aplicação web legada foi migrada para uma instância Amazon EC2 e não inclui autenticação integrada. Os funcionários precisam acessar a aplicação de qualquer lugar na internet, mas o acesso deve ser restrito apenas a funcionários, sem modificar a aplicação. Como um engenheiro de segurança deve implementar isso?

A opção correta utiliza o Application Load Balancer (ALB) para autenticação, o que é ideal porque a aplicação legada não possui autenticação integrada. O Amazon Cognito User Pool, configurado com federação SAML para o ADFS, permite que os funcionários usem suas credenciais existentes do ADFS para acessar a aplicação. Isso restringe o acesso apenas a funcionários e não exige modificações na aplicação. A opção do AWS IAM Identity Center não é a melhor porque, embora integre com ADFS, a instância EC2 não é um recurso gerenciado pelo IAM Identity Center para autenticação de aplicações web. A opção do Amazon Cognito Identity Pool é para autorização de acesso a recursos da AWS, não para autenticação de usuários em uma aplicação web, e o conector do Active Directory não se aplica a este cenário. A opção do autorizador Lambda com proxy reverso é mais complexa e não aproveita a federação SAML existente com o ADFS de forma direta para a autenticação de usuários.