Una grande organizzazione IT utilizza gruppi LDAP per controllare l'accesso on-premise e desidera migrare ad AWS senza concedere a tutti un accesso esteso. Qual è il modo più appropriato per consentire agli utenti di accedere con le credenziali LDAP esistenti, garantendo al contempo autorizzazioni diverse in base alla funzione lavorativa?

Federare l'LDAP on-premise con IAM tramite SAML è la soluzione più appropriata perché consente all'organizzazione di mantenere le credenziali LDAP esistenti e di gestire centralmente gli utenti, mappando i gruppi LDAP a ruoli IAM specifici. Questo garantisce che gli utenti ottengano autorizzazioni AWS basate sulla loro funzione lavorativa definita in LDAP, senza dover ricreare o sincronizzare utenti e gruppi in AWS. Le altre opzioni sono meno ideali: Implementare Simple AD non è adatto per replicare direttamente un LDAP esistente e non offre la stessa flessibilità di mappatura dei ruoli. Creare una Lambda per il provisioning è un approccio manuale e complesso che non sfrutta le capacità di federazione native di AWS e IAM. Utilizzare CloudFormation e Direct Connect per interrogare LDAP non fornisce un meccanismo di autenticazione e autorizzazione diretto per gli utenti AWS basato su LDAP.