Ein Unternehmen hostet eine Intranet-Anwendung auf EC2-Instanzen hinter einem ALB. Derzeit authentifizieren sich Benutzer über eine interne Datenbank. Das Unternehmen muss einen bestehenden AWS Directory Service for Microsoft Active Directory verwenden, damit alle Verzeichnisbenutzer auf die Anwendung zugreifen können. Welche Lösung erfüllt diese Anforderung?

Die korrekte Lösung ist, einen Amazon Cognito-Benutzerpool einzurichten, der mit dem AWS Directory Service for Microsoft Active Directory als föderiertem Identitätsanbieter verbunden ist. Anschließend wird eine ALB-Listener-Regel mit der Aktion authenticate-cognito konfiguriert, die auf diesen Benutzerpool und einen zugehörigen App-Client verweist. Dies ermöglicht es dem ALB, Benutzeranfragen zu authentifizieren, indem es die Authentifizierung an Cognito delegiert, welches wiederum die Identitäten aus dem Active Directory nutzt. Die Option mit authenticate-oidc direkt mit Active Directory ist nicht ideal, da Active Directory selbst kein OIDC-Anbieter ist, der direkt vom ALB angesprochen werden kann. Die IAM-Föderation ist primär für den Zugriff auf AWS-Ressourcen gedacht, nicht für die Authentifizierung von Endbenutzern an einer Anwendung über einen ALB. AWS IAM Identity Center (SSO) ist ebenfalls für den Zugriff auf AWS-Konten und Anwendungen gedacht, aber die Integration mit dem ALB für die Anwendungsauthentifizierung erfolgt in der Regel über Cognito.