Una empresa utiliza ADFS on-premises con SSO para acceder a la AWS Management Console. Una aplicación web heredada se migró a una instancia de Amazon EC2 y no incluye autenticación integrada. Los empleados necesitan acceder a la aplicación desde cualquier lugar de Internet, pero el acceso debe restringirse solo a los empleados, sin modificar la aplicación. ¿Cómo debería implementar esto un ingeniero de seguridad?

La opción correcta utiliza un Application Load Balancer (ALB) con autenticación de Amazon Cognito. El ALB puede autenticar usuarios antes de que lleguen a la aplicación EC2, y Cognito puede federarse con ADFS mediante SAML, permitiendo a los empleados usar sus credenciales existentes. Esto no requiere modificar la aplicación heredada y restringe el acceso solo a empleados autenticados. La opción de AWS IAM Identity Center no es adecuada porque la aplicación no tiene autenticación integrada y IAM Identity Center se enfoca en el acceso a la Consola de AWS y aplicaciones habilitadas para SSO, no en proteger una aplicación web sin autenticación. La opción de Amazon Cognito Identity Pool con el conector de Active Directory y el SDK de Cognito requeriría modificar la aplicación para usar el SDK, lo cual se quiere evitar. La opción del autorizador de Lambda y proxy inverso es más compleja y menos escalable que la solución con ALB y Cognito.