한 회사에서 ALB 뒤의 EC2 인스턴스에 인트라넷 앱을 호스팅하고 있습니다. 현재 사용자는 내부 데이터베이스에 대해 인증합니다. 회사는 모든 디렉터리 사용자가 앱에 액세스할 수 있도록 기존 AWS Directory Service for Microsoft Active Directory를 사용해야 합니다. 이 요구 사항을 충족하는 솔루션은 무엇입니까?

정답은 Amazon Cognito 사용자 풀을 설정하는 것입니다. 이 솔루션은 AWS Directory Service for Microsoft Active Directory를 페더레이션 자격 증명 공급자로 활용하여 기존 디렉터리 사용자가 앱에 액세스할 수 있도록 합니다. ALB는 authenticate-cognito 작업을 사용하여 Cognito 사용자 풀과 통합되어 사용자 인증을 처리합니다. 오답인 "디렉터리에 새 앱 클라이언트를 생성합니다. authenticate-oidc 작업을 사용하는 ALB 리스너 규칙을 추가합니다..."는 ALB의 authenticate-oidc 작업이 OpenID Connect(OIDC) 공급자와 직접 통합되지만, AWS Directory Service for Microsoft Active Directory는 기본적으로 OIDC 공급자가 아니므로 이 접근 방식은 직접적으로 작동하지 않습니다. 오답인 "디렉터리를 새 IAM 자격 증명 공급자로 추가합니다. ALB에 대한 액세스를 허용하는 정책이 있는 SAML 2.0 페더레이션용 IAM 역할을 생성하고..."는 IAM 자격 증명 공급자는 주로 AWS 리소스에 대한 액세스를 관리하는 데 사용되며, ALB를 통해 애플리케이션 사용자 인증을 직접 처리하는 데는 적합하지 않습니다. 오답인 "AWS IAM Identity Center(AWS Single Sign-On)를 활성화하고, 자동 프로비저닝을 사용하여 디렉터리를 외부 SAML 자격 증명 공급자로 구성하고..."는 IAM Identity Center는 AWS 계정 및 클라우드 애플리케이션에 대한 SSO를 제공하지만, ALB를 통해 인트라넷 앱에 대한 사용자 인증을 직접 처리하는 데는 authenticate-cognito만큼 효율적이지 않습니다. 또한, authenticate-cognito 작업은 Cognito 사용자 풀을 참조해야 합니다.