Ein Unternehmen migriert Anwendungen zu AWS über mehrere Konten hinweg, die mit AWS Organizations verwaltet werden. Das Sicherheitsteam benötigt Single Sign-On (SSO) über alle Konten hinweg, während Benutzer und Gruppen weiterhin im lokalen, selbstverwalteten Microsoft Active Directory verwaltet werden. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist, AWS Single Sign-On (AWS SSO) über die AWS SSO-Konsole zu aktivieren und einen bidirektionalen Gesamtstruktur-Trust zu erstellen, um das lokale Microsoft Active Directory über AWS Directory Service for Microsoft Active Directory mit AWS SSO zu verbinden. Ein bidirektionaler Trust ermöglicht es Benutzern und Gruppen aus dem lokalen AD, sich bei AWS SSO zu authentifizieren und auf AWS-Konten zuzugreifen, während die Verwaltung zentral im lokalen AD verbleibt. Die Option mit einem unidirektionalen Trust ist falsch, da dieser typischerweise nur den Zugriff in eine Richtung ermöglicht, was für die Integration mit AWS SSO nicht ausreicht, wenn Benutzer aus dem lokalen AD authentifiziert werden sollen. Die Option, nur AWS Directory Service mit einem bidirektionalen Trust zu verwenden, ist unvollständig, da sie AWS SSO nicht einbezieht, welches für Single Sign-On über mehrere Konten hinweg erforderlich ist. Die Bereitstellung eines lokalen Identity Providers (IdP) ist nicht notwendig, da AWS SSO direkt