Una empresa necesita usar su directorio LDAP on-premises para autenticar usuarios en la Consola de administración de AWS, pero el servicio de directorio no es compatible con SAML. ¿Qué solución cumple este requisito?

La opción correcta es desarrollar una aplicación o proceso de intermediario de identidad personalizado on-premises que use AWS Security Token Service (AWS STS) para obtener credenciales de corta duración. Dado que el servicio LDAP no es compatible con SAML, se requiere una solución personalizada. Esta aplicación actuaría como un intermediario, autenticando a los usuarios contra el LDAP local y luego utilizando AWS STS para asumir un rol de IAM y generar credenciales temporales que los usuarios pueden usar para acceder a la Consola de administración de AWS. Habilitar AWS IAM Identity Center (AWS Single Sign-On) entre AWS y el LDAP on-premises no funcionaría directamente porque IAM Identity Center requiere un proveedor de identidad compatible con SAML (o la integración con Active Directory, que no es el caso aquí). Crear una política de IAM que use credenciales de AWS e integrar la política en LDAP no es una solución de autenticación; las políticas de IAM definen permisos, no gestionan la autenticación de usuarios externos. Configurar un proceso que rote las credenciales de IAM cada vez que se actualicen las credenciales de LDAP no aborda el problema de la autenticación inicial del usuario en AWS.