Une entreprise met en place de nombreux comptes AWS dans un environnement AWS Organizations unique et a besoin d'une solution de connexion centralisée qui s'intègre à AWS Organizations et à un fournisseur d'identité (IdP) SAML 2.0 tiers. Quelle est l'approche recommandée pour gérer de manière centralisée la connexion et les autorisations sur tous les comptes ?

La bonne réponse est d'activer et de configurer AWS Single Sign-On (AWS SSO) et de le connecter à l'IdP SAML tiers. AWS SSO (désormais AWS IAM Identity Center) est conçu pour fournir un accès centralisé et fédéré à plusieurs comptes AWS au sein d'une organisation. Il s'intègre nativement avec AWS Organizations et prend en charge les fournisseurs d'identité SAML 2.0, ce qui en fait la solution recommandée pour ce cas d'utilisation. Mettre en place un groupe d'utilisateurs Amazon Cognito n'est pas la meilleure approche car Cognito est principalement destiné à l'authentification des applications web et mobiles, et non à la gestion centralisée de l'accès aux comptes AWS au sein d'une organisation. Créer une fédération SAML entre l'IdP tiers et IAM dans chaque compte séparément serait fastidieux et difficile à gérer à grande échelle, car cela nécessiterait une configuration individuelle pour chaque compte. Intégrer directement l'IdP tiers à AWS Organizations n'est pas une option, car AWS Organizations gère la structure des comptes mais ne fournit pas de capacités d'authentification directe avec des IdP externes.