Eine als Docker-Image verpackte Webanwendung eines Drittanbieters läuft auf AWS Fargate (Amazon ECS) hinter einem Application Load Balancer (ALB). Nur einer bestimmten Liste von Benutzern muss Internetzugriff auf die Anwendung gewährt werden. Die Anwendung kann nicht geändert und nicht in einen externen Identitätsanbieter integriert werden. Alle Benutzer müssen sich mit Multi-Faktor-Authentifizierung (MFA) authentifizieren. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist, einen Amazon Cognito-Benutzerpool zu erstellen und diesen mit den autorisierten Benutzern zu füllen, wobei MFA erzwungen wird. Anschließend wird eine ALB-Listener-Regel konfiguriert, um die Authentifizierung über die von Amazon Cognito gehostete Benutzeroberfläche zu nutzen, bevor der Datenverkehr an die Anwendung weitergeleitet wird. Dies erfüllt alle Anforderungen: Internetzugriff nur für bestimmte Benutzer, MFA-Pflicht und keine Änderungen an der Drittanbieteranwendung. Die Option mit AWS IAM ist falsch, da IAM-Benutzer nicht direkt für die Authentifizierung von Endbenutzern über einen ALB vorgesehen sind und eine Ressourcenrichtlinie am Fargate-Dienst keine Authentifizierung für den Zugriff über den ALB regelt. AWS IAM Identity Center ist für die Verwaltung des Zugriffs auf AWS-Konten und Anwendungen gedacht, nicht für die Authentifizierung von Endbenutzern für eine Webanwendung über einen ALB. AWS Amplify ist ein Framework für die Entwicklung von Web- und Mobilanwendungen, und obwohl es Cognito-Benutzerpools nutzen kann, ist die direkte Konfiguration eines Cognito-Benutzerpools mit dem ALB die spezifischere und direktere Lösung für dieses Szenario.