Un'azienda deve utilizzare la propria directory LDAP on-premise per autenticare gli utenti alla AWS Management Console, ma il servizio di directory non è compatibile con SAML. Quale soluzione soddisfa questo requisito?

La risposta corretta è sviluppare un'applicazione o un processo di identity broker personalizzato on-premise che utilizzi AWS Security Token Service (AWS STS) per ottenere credenziali di breve durata. Poiché il servizio LDAP on-premise non è compatibile con SAML, è necessario un broker di identità personalizzato. Questo broker autenticherà gli utenti rispetto all'LDAP e, in caso di successo, chiamerà AWS STS per assumere un ruolo IAM, ottenendo credenziali di sicurezza temporanee. Queste credenziali possono essere utilizzate per accedere alla AWS Management Console. Le altre opzioni non sono adatte: Abilitare AWS IAM Identity Center (AWS Single Sign-On) tra AWS e l'LDAP on-premise non funziona direttamente senza SAML o un connettore compatibile. Creare una policy IAM che utilizzi le credenziali AWS e integrare la policy in LDAP non è un meccanismo di autenticazione valido per l'accesso alla console AWS. Le policy IAM definiscono le autorizzazioni, non l'autenticazione. Configurare un processo che ruoti le credenziali IAM ogni volta che le credenziali LDAP vengono aggiornate è una soluzione complessa e insicura, che non risolve il problema dell'autenticazione diretta tramite LDAP.