Uma grande organização de TI usa grupos LDAP para controlar o acesso on-premises e deseja migrar para a AWS sem conceder acesso amplo a todos. Qual é a maneira mais apropriada de permitir que os usuários façam login com as credenciais LDAP existentes, concedendo permissões diferentes com base na função de trabalho?

A federação do LDAP on-premises com o IAM usando SAML é a maneira mais apropriada. Isso permite que os usuários façam login com suas credenciais LDAP existentes, e o mapeamento de grupos LDAP para funções do IAM garante que as permissões sejam concedidas com base na função de trabalho, limitando o acesso de forma eficaz. Implantar o Simple AD não replica o diretório LDAP existente e exigiria a recriação de usuários e grupos. Criar uma função Lambda para provisionar usuários e políticas do IAM é uma solução complexa e menos segura para federação de identidade. Usar o CloudFormation para criar funções do IAM e um link do Direct Connect para consultar o LDAP não aborda a federação de identidade nem o mapeamento de permissões de forma eficiente.