Ein Unternehmen richtet viele AWS-Konten in einer einzigen AWS Organizations-Umgebung ein und benötigt eine zentralisierte Anmeldelösung, die sich in AWS Organizations und einen SAML 2.0-Identitätsanbieter eines Drittanbieters integrieren lässt. Welcher Ansatz wird für die zentrale Verwaltung von Anmeldungen und Berechtigungen über alle Konten hinweg empfohlen?

Die Aktivierung und Konfiguration von AWS Single Sign-On (AWS SSO) und die Verbindung mit einem SAML-IdP eines Drittanbieters ist die empfohlene Lösung. AWS SSO wurde speziell für die zentrale Verwaltung des Zugriffs auf mehrere AWS-Konten in einer AWS Organizations-Umgebung entwickelt. Es integriert sich nahtlos mit SAML 2.0-Identitätsanbietern und ermöglicht Benutzern die Anmeldung bei einem zentralen Portal, um auf alle zugewiesenen AWS-Konten zuzugreifen. Amazon Cognito-Benutzerpools sind eher für die Authentifizierung von Endbenutzern für Web- und mobile Anwendungen gedacht, nicht für die zentrale Verwaltung des Zugriffs auf AWS-Konten in einer Organisation. Die Erstellung einer SAML-Föderation in jedem Konto separat wäre bei vielen Konten extrem aufwendig und nicht skalierbar. Die direkte Integration eines IdP in AWS Organizations ist nicht vorgesehen; AWS Organizations verwaltet die Kontenstruktur, nicht die Benutzerauthentifizierung.