Ein Unternehmen nutzt lokale ADFS mit SSO für den Zugriff auf die AWS Management Console. Eine ältere Webanwendung wurde auf eine Amazon EC2-Instance migriert und verfügt über keine integrierte Authentifizierung. Mitarbeiter müssen von überall im Internet auf die Anwendung zugreifen können, aber der Zugriff muss auf Mitarbeiter beschränkt sein, ohne die Anwendung zu modifizieren. Wie sollte ein Sicherheitsingenieur dies implementieren?

Die korrekte Option nutzt die integrierte Authentifizierungsfunktion des Application Load Balancers (ALB) mit Amazon Cognito. Da die Anwendung keine eigene Authentifizierung hat, kann der ALB die Authentifizierung vor der Weiterleitung des Datenverkehrs zur Anwendung übernehmen. Durch die Konfiguration eines Cognito-Benutzerpools mit SAML-Föderation zu ADFS können Mitarbeiter ihre bestehenden ADFS-Anmeldeinformationen nutzen, was Single Sign-On (SSO) ermöglicht, ohne die Anwendung zu ändern. Die Option mit AWS IAM Identity Center ist nicht ideal, da es primär für den Zugriff auf AWS-Konten und -Anwendungen konzipiert ist, nicht direkt für die Authentifizierung vor einer Webanwendung auf einer EC2-Instanz. Die Option mit dem Amazon Cognito-Identitätspool und dem SDK erfordert Änderungen an der Anwendung, was die Anforderung "ohne die Anwendung zu modifizieren" verletzt. Die Lambda Custom Authorizer-Lösung ist zu komplex und erfordert die Implementierung eines Reverse Proxys und zusätzlicher Logik, während der ALB eine einfachere, integrierte Lösung bietet.