Una empresa está migrando aplicaciones de un Microsoft Active Directory autogestionado on-premises a AWS. Las aplicaciones se ejecutan en múltiples cuentas de AWS gestionadas centralmente con AWS Organizations. El equipo de seguridad necesita inicio de sesión único (single sign-on) en todas las cuentas de AWS mientras continúa gestionando usuarios y grupos en el Active Directory on-premises. ¿Qué solución cumple con estos requisitos?

La opción correcta permite la integración del Active Directory (AD) on-premises con AWS IAM Identity Center (anteriormente AWS SSO) para proporcionar inicio de sesión único (SSO) en todas las cuentas de AWS. Al configurar una relación de confianza de bosque bidireccional entre el AD on-premises y AWS Directory Service for Microsoft Active Directory, los usuarios y grupos existentes en el AD on-premises pueden autenticarse y acceder a los recursos de AWS a través de IAM Identity Center sin necesidad de replicar usuarios. La primera opción es incorrecta porque crear un nuevo AD en AWS implicaría migrar o duplicar usuarios, lo cual no cumple con el requisito de seguir gestionando usuarios en el AD on-premises. La tercera opción es demasiado general; AWS Directory Service por sí solo no proporciona SSO para todas las cuentas de AWS sin la integración con IAM Identity Center. La cuarta opción, implementar un IdP en EC2, añade complejidad y gestión adicional, mientras que AWS IAM Identity Center ofrece una solución gestionada para este propósito.