한 회사에서 AWS Organizations로 관리되는 여러 계정에 걸쳐 애플리케이션을 AWS로 마이그레이션합니다. 보안 팀은 온프레미스 자체 관리형 Microsoft Active Directory에서 사용자 및 그룹을 계속 관리하면서 모든 계정에서 SSO(Single Sign-On)를 필요로 합니다. 이러한 요구 사항을 충족하는 솔루션은 무엇입요?

정답은 AWS Single Sign-On(AWS SSO)을 활성화하고 AWS Directory Service for Microsoft Active Directory를 통해 온프레미스 Active Directory와 양방향 포리스트 트러스트를 생성하는 것입니다. AWS SSO는 AWS Organizations에 통합되어 여러 계정에 걸쳐 중앙 집중식 SSO를 제공하며, AWS Managed Microsoft AD는 온프레미스 AD와의 트러스트 관계를 지원하여 기존 사용자 및 그룹 관리를 유지할 수 있게 합니다. 양방향 트러스트는 AWS SSO가 온프레미스 AD의 사용자 및 그룹을 인증하고, 온프레미스 리소스가 AWS AD의 리소스를 신뢰할 수 있도록 합니다. 단방향 트러스트는 한 방향으로만 인증을 허용하므로, 이 시나리오의 요구사항을 완전히 충족하지 못합니다. 온프레미스 IdP를 배포하는 것은 추가적인 관리 오버헤드를 발생시키며, AWS SSO의 이점을 충분히 활용하지 못합니다.