Un'azienda utilizza ADFS on-premises con SSO per l'accesso alla AWS Management Console. Un'applicazione web legacy è stata migrata a un'istanza Amazon EC2 e non include l'autenticazione integrata. I dipendenti devono accedere all'applicazione da qualsiasi luogo su Internet, ma l'accesso deve essere limitato solo ai dipendenti, senza modificare l'applicazione. In che modo un ingegnere della sicurezza dovrebbe implementare questa soluzione?

L'opzione corretta sfrutta la capacità di autenticazione integrata di Application Load Balancer (ALB) con Amazon Cognito. Configurando un pool di utenti Cognito federato con ADFS tramite SAML, l'ALB può gestire l'autenticazione dei dipendenti utilizzando le loro credenziali ADFS esistenti prima di inoltrare le richieste all'applicazione EC2. Questo soddisfa il requisito di non modificare l'applicazione legacy e di consentire l'accesso da qualsiasi luogo. Le altre opzioni sono meno adatte: AWS IAM Identity Center (SSO) non è progettato per proteggere direttamente applicazioni web legacy in questo modo senza modifiche all'applicazione stessa. Creare un pool di identità Cognito e usare l'SDK richiederebbe modifiche all'applicazione, il che è escluso. Un authorizer personalizzato Lambda con un reverse proxy è una soluzione più complessa e non sfrutta direttamente l'integrazione ADFS esistente per l'autenticazione.