ある会社では、AWS マネジメントコンソールへのアクセスにオンプレミスの ADFS と SSO を使用しています。レガシーなウェブアプリケーションが Amazon EC2 インスタンスに移行されましたが、組み込みの認証機能は含まれていません。従業員はインターネット上のどこからでもアプリケーションにアクセスする必要がありますが、アプリケーションを変更せずに、アクセスを従業員のみに制限する必要があります。セキュリティエンジニアはこれをどのように実装すべきですか？

このソリューションは、既存のADFSとSSOの利用、アプリケーションの変更不要、インターネットからのアクセス、従業員のみへのアクセス制限という要件をすべて満たします。ALBの認証機能は、アプリケーションコードを変更することなく、Cognitoユーザープールを介してADFSと連携し、SAMLフェデレーションを利用して認証を処理します。 AWS IAM Identity CenterはAWSアカウントとアプリケーションへのSSOを提供しますが、レガシーウェブアプリケーションの認証を直接保護するものではありません。Amazon Cognito IDプールは未認証ユーザーに一時的なAWS認証情報を提供するために使用され、認証機能としては不適切です。Lambdaカスタムオーソライザーは複雑であり、アプリケーションの変更なしという要件に反する可能性があります。