한 회사에서 AWS Management Console에 액세스하기 위해 온프레미스 ADFS와 SSO를 사용합니다. 레거시 웹 애플리케이션이 Amazon EC2 인스턴스로 마이그레이션되었으며, 내장 인증 기능이 없습니다. 직원들은 인터넷 어디에서든 애플리케이션에 액세스해야 하지만, 애플리케이션을 수정하지 않고 직원만 액세스하도록 제한해야 합니다. 보안 엔지니어는 이를 어떻게 구현해야 할까요?

이 솔루션은 기존 애플리케이션을 수정하지 않고도 요구 사항을 충족합니다. Application Load Balancer(ALB)는 애플리케이션 앞에 위치하여 트래픽을 처리하며, Amazon Cognito 인증 기능을 내장하고 있습니다. Cognito 사용자 풀을 SAML 페더레이션으로 구성하고 온프레미스 ADFS와 연결하면, 직원은 기존 ADFS 자격 증명을 사용하여 AWS Management Console에 액세스하는 것과 동일한 방식으로 애플리케이션에 SSO로 로그인할 수 있습니다. 이는 애플리케이션의 변경 없이 인터넷 어디에서든 안전하게 액세스할 수 있도록 합니다. 다른 옵션들은 다음과 같은 이유로 적합하지 않습니다. AWS IAM Identity Center는 주로 AWS 계정 및 클라우드 애플리케이션에 대한 SSO를 제공하며, EC2 인스턴스에서 실행되는 레거시 웹 애플리케이션에 직접 적용하기는 어렵습니다. Amazon Cognito 자격 증명 풀은 주로 모바일 및 웹 애플리케이션의 백엔드 리소스 액세스 제어에 사용되며, 애플리케이션 수정 없이 인증을 구현하기 어렵습니다. AWS Lambda 사용자 지정 Authorizer는 애플리케이션 수정이 필요할 수 있으며, 복잡성이 증가합니다.