Eine große IT-Organisation verwendet LDAP-Gruppen, um den Zugriff vor Ort zu steuern, und möchte zu AWS migrieren, ohne jedem umfassenden Zugriff zu gewähren. Welches ist der am besten geeignete Weg, um Benutzern die Anmeldung mit vorhandenen LDAP-Anmeldeinformationen zu ermöglichen und gleichzeitig unterschiedliche Berechtigungen basierend auf der Jobfunktion zu gewähren?

Die Föderation des lokalen LDAP-Verzeichnisses mit AWS IAM über SAML ist die am besten geeignete Lösung. Dies ermöglicht es Benutzern, sich mit ihren vorhandenen LDAP-Anmeldeinformationen bei AWS anzumelden. Durch die Zuordnung von LDAP-Gruppen zu verschiedenen IAM-Rollen können Sie detaillierte Berechtigungen basierend auf der Jobfunktion gewähren, ohne jedem umfassenden Zugriff zu ermöglichen. Simple AD ist eine eigenständige Verzeichnisdienstlösung und repliziert kein bestehendes LDAP-Verzeichnis. Eine Lambda-Funktion zur automatischen Bereitstellung von IAM-Benutzern und -Richtlinien wäre komplex und würde nicht die direkte Authentifizierung über vorhandene LDAP-Anmeldeinformationen bieten. CloudFormation und Direct Connect würden zwar die Konnektivität herstellen, aber nicht die direkte Föderation und Zuordnung von LDAP-Gruppen zu IAM-Rollen für die Berechtigungsverwaltung ermöglichen.