Une entreprise migre des applications vers AWS sur plusieurs comptes gérés avec AWS Organizations. L'équipe de sécurité a besoin d'une authentification unique (SSO) sur tous les comptes tout en continuant à gérer les utilisateurs et les groupes dans le Microsoft Active Directory auto-géré sur site. Quelle solution répond à ces exigences ?

La bonne réponse est d'activer AWS Single Sign-On (AWS SSO) et de créer une approbation de forêt bidirectionnelle avec le Microsoft Active Directory auto-géré via AWS Directory Service for Microsoft Active Directory. AWS SSO permet l'authentification unique centralisée sur plusieurs comptes AWS. Pour intégrer un Active Directory auto-géré, AWS Directory Service for Microsoft Active Directory (également appelé Managed Microsoft AD) est nécessaire. Une approbation de forêt bidirectionnelle permet à la fois à AWS Managed Microsoft AD de faire confiance à votre AD sur site et à votre AD sur site de faire confiance à AWS Managed Microsoft AD, ce qui est essentiel pour la synchronisation des utilisateurs et des groupes et l'authentification. Une approbation unidirectionnelle ne suffirait pas car elle ne permettrait pas la synchronisation bidirectionnelle nécessaire. L'utilisation d'AWS Directory Service seul ne fournit pas l'authentification unique pour tous les comptes AWS comme le fait AWS SSO. Déployer un IdP sur site est une option plus complexe et n'est pas la solution la plus directe pour l'intégration avec AWS SSO et un AD existant.