Ein Unternehmen migriert Anwendungen von einem selbstverwalteten lokalen Microsoft Active Directory zu AWS. Die Anwendungen laufen in mehreren AWS-Konten, die zentral mit AWS Organizations verwaltet werden. Das Sicherheitsteam benötigt Single Sign-On über alle AWS-Konten hinweg, während Benutzer und Gruppen weiterhin im lokalen Active Directory verwaltet werden. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist, AWS IAM Identity Center zu aktivieren und eine bidirektionale Gesamtstruktur-Vertrauensstellung zwischen dem lokalen Active Directory und AWS Directory Service for Microsoft Active Directory zu konfigurieren. IAM Identity Center ermöglicht Single Sign-On über alle AWS-Konten hinweg, wie vom Sicherheitsteam gefordert. Die bidirektionale Vertrauensstellung mit AWS Managed Microsoft AD stellt sicher, dass Benutzer und Gruppen weiterhin im lokalen Active Directory verwaltet werden können, während sie sich bei AWS-Ressourcen authentifizieren. Die Option, ein Enterprise Edition Active Directory in AWS Directory Service zu erstellen, ist unzureichend, da die Benutzer weiterhin im lokalen AD verwaltet werden sollen und nicht in einem neuen AD in AWS. Die alleinige Verwendung von AWS Directory Service mit einer bidirektionalen Vertrauensstellung würde kein Single Sign-On über alle AWS-Konten hinweg bieten, was eine Kernanforderung ist. Das Bereitstellen eines IdP auf Amazon EC2 ist eine komplexere und weniger integrierte Lösung als die Nutzung von IAM Identity Center mit AWS Managed Microsoft AD.