Una gran organización de TI utiliza grupos LDAP para controlar el acceso local y desea migrar a AWS sin otorgar acceso amplio a todos. ¿Cuál es la forma más adecuada de permitir que los usuarios inicien sesión con las credenciales LDAP existentes mientras se otorgan diferentes permisos según la función laboral?

Federar el LDAP local con IAM usando SAML es la solución más adecuada porque permite a los usuarios autenticarse con sus credenciales LDAP existentes, lo que reduce la fricción del usuario y mantiene un único punto de verdad para la identidad. El mapeo de grupos LDAP a diferentes roles de IAM garantiza que los usuarios reciban permisos específicos basados en su función laboral, implementando el principio de privilegio mínimo. Implementar AWS Directory Service Simple AD y replicar el directorio LDAP local es una opción, pero Simple AD es una versión ligera de Active Directory y no es ideal para integraciones complejas con directorios LDAP existentes, además de que podría requerir una migración de usuarios. Crear una Lambda para aprovisionar usuarios y políticas de IAM es una solución personalizada que añade complejidad y mantenimiento, y no aborda directamente la federación de identidad. Usar CloudFormation para crear roles de IAM y un enlace Direct Connect solo prepara la infraestructura, pero no soluciona la autenticación de usuarios LDAP ni la asignación de permisos basada en roles de forma federada.