Une entreprise migre des applications d'un Microsoft Active Directory autogéré sur site vers AWS. Les applications s'exécutent dans plusieurs comptes AWS gérés de manière centralisée avec AWS Organizations. L'équipe de sécurité a besoin d'une authentification unique (SSO) sur tous les comptes AWS tout en continuant à gérer les utilisateurs et les groupes dans l'Active Directory sur site. Quelle solution répond à ces exigences ?

La bonne réponse est d'activer AWS IAM Identity Center et de configurer une approbation de forêt bidirectionnelle avec l'Active Directory (AD) sur site via AWS Directory Service for Microsoft Active Directory. IAM Identity Center (anciennement AWS SSO) est conçu pour fournir un accès SSO centralisé à plusieurs comptes AWS au sein d'AWS Organizations. En établissant une approbation bidirectionnelle entre l'AD sur site et AWS Managed Microsoft AD, les utilisateurs et les groupes de l'AD sur site peuvent s'authentifier et accéder aux comptes AWS via IAM Identity Center, répondant ainsi aux exigences de gestion des utilisateurs dans l'AD existant et de SSO. Créer un Active Directory Enterprise Edition dans AWS et le configurer comme source d'identité ne répond pas à l'exigence de gestion des utilisateurs dans l'AD sur site existant. Utiliser AWS Directory Service et créer une relation d'approbation bidirectionnelle est une partie de la solution mais ne mentionne pas IAM Identity Center, qui est crucial pour le SSO multi-comptes. Déployer un IdP sur EC2 est une solution plus complexe et moins intégrée que l'utilisation d'IAM Identity Center avec AD Connector ou AWS Managed Microsoft AD.