Ein Unternehmen erstellt eine Organisation in AWS Organizations. Das Unternehmen muss die Benutzerverwaltung in einen externen Identitätsanbieter (IdP) integrieren und den Zugriff auf alle AWS-Konten und Anwendungen zentral über das Verwaltungskonto steuern. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Antwort ist, AWS IAM Identity Center (ehemals AWS Single Sign-On) zu aktivieren und den externen IdP als Identitätsquelle zu konfigurieren. IAM Identity Center ist speziell dafür konzipiert, den zentralen Zugriff auf alle AWS-Konten in einer AWS Organization sowie auf Cloud-Anwendungen zu verwalten. Es ermöglicht die Integration mit externen IdPs wie Okta oder Azure AD, um die Benutzerverwaltung zu zentralisieren. Mit Berechtigungssätzen und Kontozuweisungen können Sie detaillierte Zugriffsrechte für Benutzer oder Gruppen aus Ihrem IdP auf bestimmte AWS-Konten und Anwendungen festlegen. Die anderen Optionen sind weniger geeignet: AWS Directory Service ist primär für die Bereitstellung von Verzeichnisdiensten in AWS oder die Integration mit On-Premises-Verzeichnissen gedacht, bietet aber nicht die zentrale Zugriffsverwaltung über eine gesamte AWS Organization hinweg wie IAM Identity Center. Die direkte Konfiguration von IAM-Vertrauensstellungen für einen externen IdP müsste in jedem einzelnen AWS-Konto erfolgen, was bei einer Organisation mit vielen Konten nicht skalierbar ist und keine zentrale Verwaltung bietet. Amazon Cognito ist ein Service für die Benutzerverwaltung in mobilen und Webanwendungen, nicht für die zentrale Verwaltung des Zugriffs auf AWS-Konten innerhalb einer Organisation.