Une entreprise héberge une application intranet sur des instances EC2 derrière un ALB. Actuellement, les utilisateurs s'authentifient auprès d'une base de données interne. L'entreprise doit utiliser un AWS Directory Service for Microsoft Active Directory existant afin que tous les utilisateurs du répertoire puissent accéder à l'application. Quelle solution répondra à cette exigence ?

La bonne réponse est de mettre en place un pool d'utilisateurs Amazon Cognito. Amazon Cognito User Pools prend en charge la fédération avec des fournisseurs d'identité (IdP) tels qu'Active Directory via SAML ou OpenID Connect (OIDC). L'ALB peut ensuite être configuré pour utiliser l'action authenticate-cognito, qui redirigera les utilisateurs vers Cognito pour l'authentification avant de les autoriser à accéder à l'application. Cette approche est nativement prise en charge par l'ALB et simplifie l'intégration. L'option "Créer un nouveau client d'application dans le répertoire..." est incorrecte car AWS Directory Service pour Microsoft Active Directory ne fonctionne pas directement comme un fournisseur OIDC pour l'ALB. L'option "Ajouter le répertoire en tant que nouveau fournisseur d'identité IAM..." est incorrecte car IAM Identity Providers sont utilisés pour l'accès aux ressources AWS, pas pour l'authentification des utilisateurs finaux d'une application via un ALB. L'option "Activer AWS IAM Identity Center..." est incorrecte car IAM Identity Center est principalement pour la gestion des accès aux comptes et applications AWS, et l'ALB n'a pas d'action authenticate-iam-identity-center.