大規模なIT組織がLDAPグループを使用してオンプレミスアクセスを制御しており、全員に広範なアクセスを許可することなくAWSに移行したいと考えています。既存のLDAP認証情報でユーザーがサインインできるようにし、職務に基づいて異なる権限を付与するための最も適切な方法は何ですか？

オンプレミスのLDAPをSAMLとフェデレートすることで、既存のLDAP認証情報を使用してAWSにサインインできるようになります。LDAPグループをIAMロールにマッピングすることで、職務に基づいた異なる権限を付与し、広範なアクセスを避けることができます。これは、既存の認証システムを活用しつつ、AWSでのアクセス管理を効率的に行う最も適切な方法です。 Simple ADはマネージド型ディレクトリサービスですが、既存のLDAPをレプリケートするよりもフェデレーションの方が統合が容易です。LambdaでIAMユーザーとポリシーをプロビジョニングする方法は、管理が複雑になりがちです。CloudFormationとDirect Connectはインフラストラクチャのデプロイには役立ちますが、認証と認可の直接的な解決策ではありません。