Un'azienda migra le applicazioni su AWS attraverso più account gestiti con AWS Organizations. Il team di sicurezza necessita del Single Sign-On (SSO) su tutti gli account, continuando a gestire utenti e gruppi nell'ambiente on-premises con Microsoft Active Directory autogestito. Quale soluzione soddisfa questi requisiti?

La risposta corretta è abilitare AWS Single Sign-On (AWS SSO) e creare un trust di foresta bidirezionale con AWS Directory Service for Microsoft Active Directory. AWS SSO si integra nativamente con AWS Directory Service, che a sua volta può federarsi con un Active Directory on-premises. Un trust bidirezionale è necessario affinché AWS SSO possa autenticare gli utenti da Active Directory e Active Directory possa riconoscere le richieste da AWS SSO. L'opzione con un trust unidirezionale è errata perché non consentirebbe ad AWS SSO di autenticare gli utenti dall'Active Directory on-premises. L'opzione di utilizzare solo AWS Directory Service senza AWS SSO non fornisce la funzionalità SSO tra più account AWS. L'opzione di distribuire un IdP on-premises è ridondante, poiché AWS SSO può integrarsi direttamente con Active Directory tramite AWS Directory Service.