한 회사에서 Active Directory와 통합된 AWS IAM Identity Center(AWS Single Sign-On)를 사용하고 있습니다. 관리자는 모든 직원이 Active Directory Domain Users 그룹의 멤버이므로 이 그룹을 할당하여 새로 생성된 AWS 계정에 대한 액세스 권한을 부여합니다. 직원들이 로그인하려고 하면 액세스가 거부됩니다. 로그인 실패를 해결하려면 어떤 조치를 취해야 할까요?

정답은 "IAM Identity Center가 그룹 멤버십을 읽을 수 있도록 Active Directory 그룹의 권한을 수정합니다"입니다. AWS IAM Identity Center(이전 AWS Single Sign-On)는 Active Directory와 통합될 때, 기본적으로 모든 그룹 정보를 읽을 수 있는 권한이 필요합니다. 만약 특정 그룹에 대한 읽기 권한이 부족하면, IAM Identity Center는 해당 그룹의 멤버십을 올바르게 동기화하거나 인식할 수 없어 로그인 실패로 이어집니다. 따라서 Active Directory에서 IAM Identity Center 서비스 계정에 해당 그룹에 대한 읽기 권한을 부여해야 합니다. 별도의 AD 그룹을 생성하는 것은 문제를 해결할 수 있지만, 기존 그룹의 권한 문제 해결이 더 직접적입니다. Active Directory 도메인 컨트롤러의 시간 설정 동기화는 인증 문제의 원인이 될 수 있지만, 그룹 멤버십 인식 실패와는 직접적인 관련이 적습니다. 계정을 제거하고 다시 가입시키는 것은 극단적인 조치이며, 권한 문제 해결에는 불필요합니다.