Un'azienda sta migrando applicazioni da un'istanza Microsoft Active Directory self-managed on-premises ad AWS. Le applicazioni sono eseguite in più account AWS gestiti centralmente con AWS Organizations. Il team di sicurezza necessita del single sign-on su tutti gli account AWS, continuando a gestire utenti e gruppi nell'Active Directory on-premises. Quale soluzione soddisfa questi requisiti?

Questa soluzione è la più efficace perché AWS IAM Identity Center (in precedenza AWS SSO) è progettato per fornire il Single Sign-On (SSO) centralizzato su più account AWS all'interno di AWS Organizations. La configurazione di un trust di foresta bidirezionale con l'Active Directory on-premises tramite AWS Directory Service for Microsoft Active Directory consente a IAM Identity Center di autenticare gli utenti e i gruppi esistenti nella directory on-premises, soddisfacendo il requisito di gestione degli utenti on-premises. Creare un'istanza Active Directory Enterprise Edition e configurarla come origine di identità per IAM Identity Center non soddisfa il requisito di continuare a gestire utenti e gruppi nell'Active Directory on-premises, poiché si creerebbe una nuova directory in AWS. Utilizzare AWS Directory Service e creare una relazione di trust bidirezionale con l'Active Directory self-managed dell'azienda è un passo necessario ma non include l'abilitazione di IAM Identity Center per il SSO centralizzato. Distribuire un IdP su Amazon EC2 è una soluzione più complessa e non nativa di AWS per questo caso d'uso, che aumenterebbe l'overhead di gestione.